Привет, хочу на свой форум добавить bb коды.

$_POST['text']='Здесь текст пользователя';

$bbcode=array('[b]' => '<b>','[i]' => '<i>','[u]' => '<u>','[s]' => '<s>');//Массив с кодами большой - я несколько значений сюда ввел, просто показать.


$text=htmlspecialchars($_POST['text'], null, "windows-1251");

foreach($bbcode as $v => $v2){
$text=str_replace($v, $v2, $text);
}

$text=mysql_real_escape_string($text);

mysql_query("INSERT `forum` SET `name`='{$_SESSION['name']}', `idus`='{$_SESSION['id']}', `words`='$text'");

Потом я могу просто из базы доставать сообщение и выводить всем пользователям? - не каких XSS уязвимостей не может быть?

Просто ранее у меня не было bb кодов на сайте, текст пользователя просто экранировался mysql_real_escape_string до добавления в таблицу, а уже потом выводился из таблицы (+ обрабатывался htmlspecialchars) и показывался пользователю.

Сейчас же я хочу до INSERT обработать текст пользователя htmlspecialchars , далее изменить в тексте bb коды на html теги и в дальнейшем просто выводить их пользователям сайта SELECT , без еще одной обработки htmlspecialchars.

Возможна ли какая-та уязвимость XSS? В массиве $bbcode только замена цвета и изменение текста (Жирный, Курсив и так далее).
BB коды для добавления ссылок, IMG и так далее нет, просто обычная замена текста str_replace - который присутствует в массиве.

1) а почему не хочешь оригинал текста хранить в БД с бб тегами?
2)

$text = strtr($text, $bbcode);

Игорь_Vasinsky