Подскажите о XSS

{% else-1 %}

22.68

(19 окт 2013, 13:28) (0/0) [0]

~AL~, $msg = str_replace(\'\"\', \'&gt\', $msg); Может так?

22.68

(19 окт 2013, 13:24) (0/0) [0]

$message = \'><script>alter(\\\'lol\\\')</script>\';

echo $message; // Выведит окно \"lol\"
echo $message; // ><script>alter(\'lol\')</script>

22.68

(19 окт 2013, 13:10) (0/0) [0]

JlaHb_24ru, да

Добавлено 19.10.13 в 13:12:33:
$message = $_GET[\'message\'];

echo $message; // Дырка
echo htmlspecialchars($message); // Так лучше

22.68

(19 окт 2013, 13:08) (0/0) [0]

Просто через htmlspecialchars выводи и заменять не нужно