>>242 のような
| htmlspecialcharsはDBに入れる前でなく表示する直前にかけれ
というサニタイズするな意見がよくあるけど、
表示する前の htmlspecialchars を忘れるセキュリティホールを本当によく見る。
人間だから 100% は無理だからね。

なのでサニタイズしたほうがバグになっても
セキュリティホールにはならないと思うのだけどどう？