Bu kod ile xss olabilecek html kodları şifreleyerek verirseniz ekrana sadece yazı olarak yansır.
$string = "

XSS kapalıdır";
echo htmlspecialchars($string, ENT_QUOTES, 'UTF-8');
?>