Назар Мокринский

Да, это уязвимость, нельзя вставлять данные напрямую в верстку.
Я использую такой код для подготовки текста для вставки в атрибуты:

strtr(
	$text,
	[
		'&'		=> '&',
		'"'		=> '"',
		'\''	=> ''',
		'<'		=> '&lt;',
		'>'		=> '&gt;'
	]
)

Но это уже перед вставкой в атрибуты, а так данные по нормальному нужно фильтровать при получении от пользователя, я для этого использую функцию xap()отсюда

Я для себя писал функцию, которая позволяет использовать стили, html форматирование, но не пускает скрипты и прочие хитрые штучки, можете воспользоваться:
https://github.com/nazar-pc/Useful-PHP-Functions/b...