Öncelikle kullanıcıdan javascript kodu alıp çalıştıracak mısınız yoksa sadece girilen kodu göstermek mi istiyorsunuz. Kodu çalıştırırsanız ve verileri süzmezseniz XSS açığına maruz kalabilirsiniz. Ama sadece kodu göstermek isterseniz "htmlspecialchars()" metodundan geçirebilirsiniz verileri bu şekilde kod çalışmaz ama ekranda yazılan kod yazı olarak gözükür.