Ну так убери это из кода. Это HTML код и он естественно будет виден пользователю.

Если это используется ввиде комментария, то должно соответствовать синтаксису.

<?
/*
Комментарии
*/

echo 'Код';

?>

Этот код вообще работать будет только как HTML

XSS - это вывод данных пользователя без фильтрации.