htmlspecialchars　はなぜ
デフォルトで　　'　シングルクオートをサニタイズしないんだ？

javascriptのコードを実行されるだろ！