HTML'e izin vermek ve XSS'den korunmak (?)

Merhaba arkadaşlar.

Üyelerin içerik oluştururken html, css ve js kodları girmesine izin veren bir yapı kodlamak istiyorum.

Üyenin js girişine izin verdiğim takdirde güvenliği sağlamanın en doğru yolu nedir? Üye oturumu çalma denemeleri dışında ne gibi riskler doğurur, nasıl önlemler alınmalıdır?

Üye girişinde üyenin ip'sini sessiona alıp, session her çağırıldığında ip'yi kontrol ettirsem yeterli olur mu?

.

Öncelikle kullanıcıdan javascript kodu alıp çalıştıracak mısınız yoksa sadece girilen kodu göstermek mi istiyorsunuz. Kodu çalıştırırsanız ve verileri süzmezseniz XSS açığına maruz kalabilirsiniz. Ama sadece kodu göstermek isterseniz "htmlspecialchars()" metodundan geçirebilirsiniz verileri bu şekilde kod çalışmaz ama ekranda yazılan kod yazı olarak gözükür.

Ekranda göstermelik değil hocam çalışçak kod girilcek.

Yok mu arkadaşlar yardımcı olabilcek konuya hakim bi arkadaş? Üye girişinde üyenin ip'sini alıp sessionda tutuyorum. Sessionu her çağırdığımda sessiondaki ip ile üyenin aktif ip'sini karşılaştırıyorum. Ip değişmişse üyenin oturumunu sonlandırıyorum. Üye, farklı bi üyeye ait session id çerezini alıp kullansa bile hırsız üyenin ip'si ile sessiondaki ip farklı olduğu için oturum sonlanıyor ama yeterli mi bilmiyorum.

1 - Üye oturumunun çalınmasını önlemek için kullandığım yöntem yeterli mi?
2 - JS girişine izin vermek başka ne tür sıkıntılara yol açabilir?

Konuya hakim arkadaşlar veya bi fikri olan arkadaşlar yardımcı olabilirse çok sevinirim.

Saygılar.