Inhabilitar todo lo no-html

[pateketrueke]

en realidad no funcionaría, preocúpate por que inserten Javascript... ya que ese si se puede ejecutar aún

si se les ocurre escribir PHP simplemente el interprete no lo va a ejecutar porque no esta en el código fuente, solo es texto.... de veras!

eso si, si lo hacen este se va a ver en el código fuente... por cierto ¿no has echo la prueba?

bueno, la solución es simple... tan solo reemplaza <? y ?> por sus entidades &lt;? y ?&gt; y listo, suerte!