SQLインジェクション対策（特殊文字エスケープ）

echo htmlspecialchars($_POST['text'], ENT_QUOTES, 'UTF-8');]

というように、htmlspecialchars()関数を使うことで、’text’の中のJavaScriptを実行せずに文字列として扱うことが出来る。 ENT_QUOTESオプションについては、これが一番強力らしい。