En mode "Valider" (i.e. validation du formulaire), le texte envoyé côté serveur est le texte contenant les balises BBcode

ah ok.
alors c'est bon question sécurité.

Quant à la solution optimale, difficile à dire.