Xss активку прикрой через htmlspecialchars() в топе.

З.Ы. Не удаляй тупо юзверей с XSS в имени а просто поставь фильтр или htmlspecialchars() !