Как защититься от инъекции такого типа

У меня есть форма, в которой возможно ввести сообщение, которое в дальнейшем будет отображаться на сайте. Сообщения хранятся в MySQL

Столкнулся с такой проблемой: если ввести например

<form id="myForm">
<textarea rows="7" name="message_text" cols="30"></textarea>
<input onclick="FormClick(); return false" type="button" value="написать">
</form>

то соответственно форма сохраняется в БД и в дальнейшем при выводе происходит отображение данной формы. Также возможно насколько я понял и тот же Java-скрипт засунуть в сообщение.

Как можно исключить возможность загрузки такого "счастья" в БД, или же как загружать, но как-то экранировать куски такого кода?

htmlspecialchars()

-----
Если вы хотя бы 3-4 раза не решите всё выкинуть и начать заново - вы явно что-то делаете не так.