Erlaube kein HTML bzw. ersetze HTML-Tags wie Du schon geschrieben hast durch die Entities. Da kann einer so viel Links auf schaedlichen Code senden wie er will, es wird nur der String des Links geschrieben und nicht als Hyperlink...