ハッキング体験アプリ作成～XSS～

ハッキング体験アプリを作成しておりただいまXSSについてのコードを書いております。
下の3つのファイルの他に攻撃者がオーナーのサイトyour_site.phpを用意しており、入力画面に何か入力してcont.phpを開いたら自動的にyour_site.phpに移るようにせよ。とのアプリです

ご存じの方には簡単だと思いますが、

<script>
window.onload=function(){
    location.href="http://your_site.php";
};
</script>

などと打ち込めばokです。
ここで質問です、
①このアプリは会員登録制で一人ひとりにsessionIDが与えられている。
しかしDBは全員に反映されるので誰かがあのコードを打ち込んでしまうと、その後違う誰かがcont.phpに入ると、勝手にyour_site.phpに飛んでしまう。
クリアしたらDBの情報を消す？なんてことを思いつきましたが、もっと良い方法がありそうですのでここで質問させていただきました。

②このwindow.onloadのコードを入力画面に打ち込めばcont.phpの中にこのコードが見える形で現れると思っていましたが現れません、一体PCはどうやって、どこを見てこのwindow.onloadのコードを読み込んでいるのでしょうか？？

cont.php

<?php
//XSS
require_once 'security_model.php';
$link= db_connect();

$name = "";
$text = "";
$error_for_me = array();
$my_desk = array();

$hide = get_post('hide');
    if($hide === "post"){
        $name = get_post('name');
        $text = get_post('text');
    
        if((insert($link,$name,$text)) === FALSE){
            $error_for_me[] = "insert失敗";
        }
    }
    if(($sentences = select_board($link,$name,$text)) === FALSE){
        $error_for_me[] = "SELECT BOARD失敗";
    }

include_once 'view.php';

security_model.php

function insert($link,$name,$text){
    if($name === ""){
        $error[]="*please fill in name";
    }else if($text === ""){
        $error[]="please fill in text";
    }
    if(count($error) === 0){
        $query='INSERT INTO board(name,text)
                       VALUES(\''.$name.'\',\''.$text.'\')';
        return insert_action($link,$query);
    }
}
function insert_action($link,$query){
    global $error_for_me;
    if(mysqli_query($link,$query)!==TRUE){
        $error_for_me[]= "insert_action失敗".$query;
        return FALSE;
    }else{
        return TRUE;
    }
}

function select_board($link,$name,$text){
    if($name === ""){
        $error[] = "please fill in username";
    }else if($text === ""){
        $error[] = "please fill in password";
    }
    if(count($error === 0)){
        $query='SELECT * FROM board';
        return  select_all_action($link,$query);
    }else{
        $error[] = "*failed posted ur sentence".$query;
        return FALSE;
    }
}
function select_all_action($link,$query){ 
    global $error_for_me;
    if(($push = mysqli_query($link,$query))!==FALSE){ 
        while($gift = mysqli_fetch_assoc($push)){
             $my_desk[] = $gift; 
        }return $my_desk;  
    }else{
        $error_for_me[] = "select_all failed!!".$query;
        return FALSE;
    }
}

view.php

<!DOCTYPE html>
<html>
    <meta charset="utf-8">
    <head>
        <title>XSS</title>
    </head>
<body>
<h1>XSS攻撃</h1>
<h2>このサイトの閲覧者をあなた（ハッカー）がオーナーのサイトに自動転送されるようにせよ</h2>
    <form action="cont.php" method="POST">
        名前:<input type="text" name="name">
        内容:<input type="text" name="text">
        <input type="submit" value="投稿！">
        <input type="hidden" name="hide" value="post">
    </form>
    
    <table>
        <tr>
            <th>名前</th>
            <th>内容</th>
        </tr>
        <?php if(isset($sentences) === TRUE) { ?>
            <?php foreach(array_reverse($sentences) as $key=>$value){ ?>
                <tr>
                    <td><?php echo $value['name'] ?></td>
                    <td><?php echo $value['text'] ?></td>
                </tr>
            <?php } ?>
        <?php } ?>    
    </table>    
</body>