ユーザー入力をデータベースに保存する前にエスケープ/エンコードするのが良いですか、それともデータベースにそのまま保存して取得中にエスケープするのが良いですか？

データを常にHTMLコンテキストで使用することを期待するのはなぜですか？「I<3you」と「I＆lt;3you」は同じデータではありません。したがって、データを保存しますデータベースで意図されているとおりです。エスケープして保存する理由はありません。
必要なときにのみデータをエスケープするHTMLにより、自分が何をしているかを確実に知ることができます。これ：
```
echo htmlspecialchars($data);
```
よりもはるかに優れています：
```
echo $data; // The data should already come escaped from the database.
            // I hope.
```