Security researcher, Web developer
Я, хоть убейте, не понимаю почему не используется javascript при решении этой задачи.
фиксить надо не только входящие данные, но и исходящие, ибо старые хсс работают
Комментриуем событие: вставляем любой html код
Example: <script>alert(1)</script>
Как такое можно выкладывать?
После этого предложения я перестал читать ваш комментарий