Non devi MAI mandare in output un testo inserito da un utente senza escape, ti esponi a grossi problemi di sicurezza.
Per l'escape di codice html, usa http://it.php.net/htmlentities