php код в string

Есть кусок кода в скрипте php. как я понимаю что его можно использовать как уязвимость.

Пытаюсь заставить работать php в строке. Отправляю POST на скрипт
Код обработчика:

Code:

<?php
if($_POST['pvz']){
$pvz  = $_POST['pvz'];
echo $pv = '<div id="check" style="color:red;">'.$pvz.'</div>';
}
?>

Но не как не могу добиться результата...
Как правильно составить код чтоб он выполнился как php? Понимаю что нужно его как-то экранировать, но не как не найду эту хитрость.

 

Тут нет возможности выполнить код на сервере, как и в записи

Code:

<?=$_GET['pvz']?>

которая могла бы встретиться в шаблонах.

Но доступна атаку на клиента, типа pvz=<svg/onload=alert(1)>.