Hallo Beat,
leider ist htmlspeacialchars() nicht das Ende aller dinge gerade UTF7 ist hier besonders hilfsbreit. http://shiflett.org/blog/2007/may/character-encoding-and-xss
Daher mache ich Pregmatch UND htmlspecialchars() aber dafür muss ich die anderen sachen ÄÖÜöäü ß leerzeichen und - halt erst orgendlich prüfen...
Danke
Heru