[php][javascript] xss a htmlspecialchars Opcje

[bmL]

Witam, ostatnimi czasu znajomy powiedział mi że htmlspecialchars nie jest wystarczającym zabezpieczeniem przeciw atakom XSS. Niestety on sam nie może znaleźć źródła tekstu który o tym traktował a swoją opinię aktualnie opiera jedynie na tym że popularne frameworki korzystają z własnych systemów filtrowania, zamiast robić używając htmlspecialchars.
Tak więc moje pytanie brzmi czy istnieje możliwość wykonania ataku XSS niech to będzie dla przykładu alert('test') nie koniecznie atak ale kod js.

[PHP] pobierz, plaintext 
<form method="post" action="index.php">
<input type="text" name="txt" />
<input type="submit" value="sprawdz" />
</form>
 
<?php
if(isset($_POST['txt'])
   echo htmlspecialchars($_POST['txt']);
?>
[PHP] pobierz, plaintext 

[bełdzio]

oczywiście, że istnieje wystarczy pobawić się atrybutami => http://www.beldzio.com/xss-w-serwie-wirtualnej-polski