わからんなぁ、どっちも同じじゃん。
ENT_QUOTESすることで何を防げるんだ？

<a onclick="alert('＆#39;+alert(4989)+＆#39;')">CLICK</a>

<a onclick="alert(''+alert(4989)+'')">CLICK</a>