är det bättre att escape/koda användarinmatningen innan du lagrar den i databasen eller att lagra den som den är i databasen och escape den under hämtning?

Varför förväntar du dig att du alltid kommer att använda data i HTML-sammanhang? "Jag <3 du" och "Jag <3 du" är inte samma data . Lagra därför data som det är tänkt i databasen. Det finns ingen anledning att förvara den flyktad.
HTML som undkommer data när och endast när det är nödvändigt ger dig självförtroendet att veta vad du gör. Detta:
```
echo htmlspecialchars($data);
```
är mycket bättre än:
```
echo $data; // The data should already come escaped from the database.
            // I hope.
```