Rolf B's Lösung

[1unitedpower]

Das hat zur Konsequenz: Sofern man nicht die Kontrolle über die Data hat, sollte man überhaupt nicht Daten in einem script Element übergeben.

Nein, man muss lediglich kontextgerecht maskieren, die HTML5.2 Spec schreibt auch vor wie. Die Spec hat ironischwerweise aber genau an der Stelle ein Kontextwechsel-Problem :D In HTML5.1 wird der Abschnitt noch richtig dargestellt. In meiner eigenen kleinen Templating-Engine habe ich das auch implementiert – mir selbst auf die Schulterklopf.

function escapeRawText($text){
    $tests = [
        '/<script/ium',   // test for forbidden opening tags
        '/<\/script/ium', // test for forbidden closing tags
        '/<!--/ium'       // test for forbidden opening comments
    ];
    $replacements = [
        '<\\\script',
        '<\\/script',
        '<\\!--'
    ];
    return preg_replace($tests, $replacements, $text);
}