es bleibt jedem programmierer selbst überlassen, genau zu prüfen, was an wen
übergeben wird, da kann dir letztendlich auch niemand helfen.
du bist derjenige, der weiß - wissen sollte! - wo du user-input hast und in
welcher form der an wen weitergegeben wird.
nicht blind alles escapen. du schriebst zum beispiel, dass du html-entities
schon beim speichern escapen willst? warum das denn? wenn ich < und >
eingebe, in ein forum z.B., kann das doch auch als < und > gespeichert werden.
einzig und allein bei der ausgabe als HTML muss es escaped werden.