Есть форма texterae , с bbcode , доступ пока у меня , больше не у кого , интересует как всё это дело экранировать чтобы всякая гадость не срабатывала ?
К примеру :

$text = "<script>alert('вот и я')</script>";
htmlspecialchars($text);

Это без ББд , и чтобы ББд срабатывал нормально .

killer8080
Этого и хватит ?
На сайтах там чутли не такие избытки кода пишут .. еще и htmlspecialchars также включён

fortuna
htmlspecialchars() при выводе, для защиты от xss, ну и при внесении в бд mysql_real_escape_string или аналоги, для защиты от инъекций.

killer8080
Спасибо .