Как предотвратить <script>alert('xss vector');</script> вид атак?
<script>alert('xss vector');</script>
Не принимать элементы HTML в вашем коде