Хочу у себя на сайте разрешить пользователям выкладывать видео с помощью вставки кода плеера в текстовое поле формы с последующей отправкой. Потом эта запись берется из базы и выводится на страницу. Появляется плеер, через который можно смотреть видео с ютуба и т.п. Вроде бы простая схема, но ведь в код плеера пользователь может добавить какой-нибудь "сюрприз", который сделает страницу с плеером страницей с XSS-уязвимостью. Т.е. заходит админ посмотреть на это видео, а его идентификатор сессии похищается.
Как с этим быть? Разрешать пользователям лишь посылать ссылку на ролик, а сам код плеера пусть вставляет в базу модератор?
Или все же существуют какие-либо способы проверки такого кода?

Используешь для поля ввода текста сообщения CKeditor. У него есть плагин для вставки видео со всяких ютубов.  От пользователя нужна только ссылка на видео: код плагин вставит сам.

Правда, не совсем понятно, причём тут раздел "PHP"?