क्या डेटाबेस में संग्रहीत करने से पहले उपयोगकर्ता इनपुट से बचना/एन्कोड करना बेहतर है या इसे डेटाबेस में संग्रहीत करना और पुनर्प्राप्त करते समय इसे बचाना बेहतर है?

जब और केवल आवश्यक होने पर डेटा से बचने वाला HTML आपको यह जानने का विश्वास दिलाता है कि आप क्या कर रहे हैं। यह:

echo htmlspecialchars($data);

की तुलना में बहुत बेहतर है:

echo $data; // The data should already come escaped from the database.
            // I hope.