¿Es mejor escapar/codificar la entrada del usuario antes de almacenarla en la base de datos o almacenarla tal como está en la base de datos y escapar mientras se recupera?

¿Por qué espera que siempre use los datos en un contexto HTML? "Yo <3 tú" y "Yo <3 tú" no son los mismos datos . Por lo tanto, almacene los datos como está previsto en la base de datos. No hay razón para almacenarlo escapado.
El HTML que escapa de los datos cuando y solo cuando es necesario le brinda la confianza de saber lo que está haciendo. esto:
```
echo htmlspecialchars($data);
```
es mucho mejor que:
```
echo $data; // The data should already come escaped from the database.
            // I hope.
```