Dentro de un echo
puedes sin problema enviar código html
o javascript
ahora bien tus campos de formularios deberían pasar por un filtro antes de proceder a ejecutar cualquier acción con los datos de estos, considera que todos tus usuarios son hackers, siempre.
Que podrías hacer ?
Validacion con HTML de tus Inputs
HTML ha evolucionado bastante y una de estas evoluciones es la validacion de los campos de entrada de formularios como por ejemplo un campo numérico
<input type="number">
o
<input type="email" required>
Ambos campos requieren una entrada valida como indica el atributo type
puedes auxiliarte de este tipo de validación, aunque hago énfasis en que no es definitivo.
Nota: El atributo required
forza al usuario a rellenar este dato.
Tambien existe el atributo pattern
le permite ejecutar validaciones de expresiones regulares contra valores de entrada. Si, por ejemplo, requiere que las contraseñas contengan al menos 1 carácter en mayúscula, 1 carácter en minúscula y 1 número, el navegador puede validarlo para ti.
<input type="password" pattern="^(?=.*\d)(?=.*[a-z])(?=.*[A-Z])(?!.*\s).*$" required>
Puedes encontrar mucha mas info en el siguiente enlace : Validaciones con HTML
JavaScript
Con javascript existen un montón de soluciones, desde utilizar jquery
y sus librerías para validación de formularios o utilizar vanilla javascript
y su poderosa API
, esta parte es bastante amplia así que te invito a entrar al siguiente enlace y verlo por ti mismo:
Validaciones con Javascript
De todos modos te dejo un ejemplo muy basico;
function validateForm() {
var x = document.forms["myForm"]["fname"].value;
if (x == "") {
alert("Debe colocar un nombre");
return false;
}
}
<div>Deja el nombre vacio y pulsa <strong>submit</strong></div>
<form name="myForm" action="/action_page.php" onsubmit="return validateForm()" method="post">
Nombre: <input type="text" name="fname">
<input type="submit" value="Submit">
</form>
PHP
Bueno, ya entramos en un terreno que no podemos jamas en la vida olvidar y es la validación en el backend
es de suma importancia no dejar toda las validaciones solo al navegador, digase HTML
y Javascript
.
Lo bueno de esto es que contamos con muchas funciones y utilidades del lado de nuestro servidor, como por ejemplo:
stripslashes Quita las barras de un string con comillas escapadas.
<?php
$str = "Is your name O\'reilly?";
// Salida: Is your name O'reilly?
echo stripslashes($str);
?>
o un caso mas apegado a tu pregunta, si un usuario ingresa codigo javascript en un input que se te paso validar;
strip_tags Retira las etiquetas HTML y PHP de un string.
?php
$text = '<p>Test paragraph.</p><!-- Comment --> <a href="#fragment">Other text</a>';
echo strip_tags($text);
echo "\n";
// Permite <p> y <a>
echo strip_tags($text, '<p><a>');
?>
Mas sobre esto en la documentación oficial: http://php.net/manual/es/function.strip-tags.php
Mi conclusión
Hay muchas formas de validar y de evitar que tus usuarios inyecten código de cualquier tipo pero esto quedaría a tu consideración cuales utilizar y cuales te convienen, los que he planteado no son definitivos y son podrían contener sus fallos y contras pero opino que dejar los inputs sin validar del lado del cliente no crea una buena experiencia.