Question

¿Al recibir y presentar contenido generado por usuarios, cual es la forma más segura de evitar que el código malicioso que introduzcan no tenga efecto?

Answer 1

Si solo deseas que no se "ejecute" el código (en este caso solo HTML o JS) puedes hacer un htmlentitites(), htmlspecialchars() o quitar de plano los tags con striptags()...

Answer 2

Escapando todo el contenido por ejemplo con la función htmlspecialchars. nemutagk te pone bien el ejemplo.