is het beter om de gebruikersinvoer te escapen/coderen voordat u deze in de database opslaat of om deze op te slaan zoals deze zich in de database bevindt en eraan te ontsnappen tijdens het ophalen?

Waarom verwacht je dat je de gegevens altijd in een HTML-context zult gebruiken? "I <3 you" en "I <3 you" zijn niet dezelfde gegevens . Bewaar daarom de gegevens zoals bedoeld in de database. Er is geen reden om het escaped op te slaan.
HTML die de gegevens ontsnapt wanneer en alleen wanneer dat nodig is, geeft u het vertrouwen om te weten wat u doet. Dit:
```
echo htmlspecialchars($data);
```
is een stuk beter dan:
```
echo $data; // The data should already come escaped from the database.
            // I hope.
```