beh o attraverso le preg_replace eviti che l'utente possa inserire codice javascript ad esempio, oppure invece di far inserire direttamente codice html usi il bbcode[quindi i tag [b] come qua sul forum]