tja, das ist halt das problem mit altem code.
man scheut davor zurück, eine zeitintensive änderung zu machen, weil es ja alter code ist und man möglichst wenig noch dran ändern will. dafür verbringt man dann zeit damit, workarounds dafür zu schreiben.
irgendwann hat man mehr zeit damit verbracht, workarounds zu schreiben, als es gekostet hätte, ein grundlegendes refactoring zu machen.
aber leider ist es auch oft so, dass man vom chef einfach die zeit nicht bekommt, weil der nur kurzfristig denkt...

ich jedenfalls kann nur nochmal sagen, ich möchte ohne default_escape nie, nie mehr arbeiten. XSS-lücken, die durch ein versehentlich vergessenes html-escaping entstehen, sind einfach peinlich und wären eben leicht zu vermeiden gewesen.