[בניה]

אתה עושה לו htmlspecialchars לפני ההכנסה זה הופך את כל הסימנים המיוחדים לסימול HTML שלהם.
תעשה הצג מקור ותראה על מה אני מדבר.
במידה והתוכן הזה ערך רק על ידי איש צוות אתר אתה לא צריך לדאוג מXSS.
במידה ואתה רוצה לתת לכל משתמש להשתמש בעורך כזה אתה צריך לסנן את הHTML עם משהו כמו
http://htmlpurifier.org/
ולתת רק לתגיות ספציפיות לעבור.