Млять, вроде не нуб, держу игру с нуля.
Но такой вопрос:
Есть фильтр на входе $mysqli->real_escape_string(htmlspecialchars(trim($a)));
Хочу сделать бб, но млять не хочу словить xss.
Знаю что через preg_replace

Chappie , В ББ кодах, не используй спец символы, пиши так img=адрес_картинки да и все, если так боишься.

Да и я не понял, к чему твоя конструкция???