Une faille XSS (cross-site scripting) permet d'injecter du code JavaScript dans une page affichée à d'autres utilisateurs. On l'évite en échappant toute donnée affichée en HTML, en PHP avec htmlspecialchars, qui convertit <, >, & et les guillemets en entités.
Exemple
echo htmlspecialchars($commentaire, ENT_QUOTES, 'UTF-8');