Логика сначала, безопасность WCF позже?

Смежные символы </script> не могут существовать во встроенном теге Javascript. Разметка HTML анализируется перед Javascript, и </script> в разметке HTML после начала тега <script> указывает конец этого тега.

Вместо этого вы можете объединить, так что, например, ваш текст приведет к

var x = '"><script>alert(\'hi\')</scr' + 'ipt>';

с помощью str_replace:

$withSlashes = addcslashes(
 Смежные символы </script> не могут существовать во встроенном теге Javascript. Разметка HTML анализируется перед Javascript, и </script> в разметке HTML после начала тега <script> указывает конец этого тега. 
 
 Вместо этого вы можете объединить, так что, например, ваш текст приведет к 
 [110] 
 с помощью str_replace: 
 [111] 
 Но было бы предпочтительно не динамически создавать код Javascript. Попробуйте вместо этого использовать атрибуты данных и разделить Javascript на отдельный файл, например, 
 
<script
  src="script.js"
  data-x="<?php echo addcslashes(
 Смежные символы </script> не могут существовать во встроенном теге Javascript. Разметка HTML анализируется перед Javascript, и </script> в разметке HTML после начала тега <script> указывает конец этого тега. 
 
 Вместо этого вы можете объединить, так что, например, ваш текст приведет к 
 [110] 
 с помощью str_replace: 
 [111] 
 Но было бы предпочтительно не динамически создавать код Javascript. Попробуйте вместо этого использовать атрибуты данных и разделить Javascript на отдельный файл, например, 
 [112] 
 (если вы используете этот метод, не забудьте правильно экранировать ", если они могут существовать в результате) 
GET['value'], "'") ?>"
></script>
 
 (если вы используете этот метод, не забудьте правильно экранировать ", если они могут существовать в результате) 
GET['value'], "'");
$xContent = str_replace('</script>', "</scr' + 'ipt>", $withSlashes);
...
var x = '<?php echo $xContent ?>';

Но было бы предпочтительно не динамически создавать код Javascript. Попробуйте вместо этого использовать атрибуты данных и разделить Javascript на отдельный файл, например,

<script
  src="script.js"
  data-x="<?php echo addcslashes(
 Смежные символы </script> не могут существовать во встроенном теге Javascript. Разметка HTML анализируется перед Javascript, и </script> в разметке HTML после начала тега <script> указывает конец этого тега. 
 
 Вместо этого вы можете объединить, так что, например, ваш текст приведет к 
 [110] 
 с помощью str_replace: 
 [111] 
 Но было бы предпочтительно не динамически создавать код Javascript. Попробуйте вместо этого использовать атрибуты данных и разделить Javascript на отдельный файл, например, 
 [112] 
 (если вы используете этот метод, не забудьте правильно экранировать ", если они могут существовать в результате) 
GET['value'], "'") ?>"
></script>

(если вы используете этот метод, не забудьте правильно экранировать ", если они могут существовать в результате)