Tốt hơn là nên thoát / mã hóa đầu vào của người dùng trước khi lưu trữ vào cơ sở dữ liệu hay lưu trữ như trong cơ sở dữ liệu và thoát ra trong khi truy xuất?

HTML thoát dữ liệu khi và chỉ khi cần thiết giúp bạn tự tin để biết mình đang làm gì. Cái này:

echo htmlspecialchars($data);

tốt hơn rất nhiều so với:

echo $data; // The data should already come escaped from the database.
            // I hope.