PHP 裡有 htmlspecialchars() 及 strip_tags()，
這兩個函式用途很像，都是在作 HTML 輸出消毒，
但這兩者還是有一點點不同，可以這麼來理解它…

strip_tags() 是用來防君子，所有正規合法的 html 或 php 標籤，都將被濾除。
而 htmlspecialchars() 則是用來防小人，所有想借機偷渡的語法，也會被抓出來，例如 onmouseover="xxxx"。

所以結論是 strip_tags() 可以不作 (如果不在意輸出的內容)，
但 htmlspecialchars() 一定要作。

strip_tags()
http://www.php.net/manual/en/function.strip-tags.php

htmlspecialchars()
http://www.php.net/manual/en/function.htmlspecialchars.php