htmlspecialchars

Question

入力フォームからの登録、表示の機能があるアプリケーションには
htmlspecialcharsはどこに書けばよいのでしょうか

表示部分と登録時のポストデータ受け取り部分の両方に必要ですか？

Answer 1

出力の時だけに実行してください。
HTMLページに出力する物は、HTML以外は全てhtmlspecialcharsを通します。
また、引数を適切に指定してください。ENT_QUOTESとか、文字エンコード種類とか。

追記：
「HTML以外は」と書きましたが正確では無いですね。正確に簡潔にはどう言ったらいいのか。
タグの外のテキスト部分（ただしJavaScriptやCSSを除く）およびタグの属性
かな。JavaScript等を生成して出力する際は別途処理が必要です。

Answer 2

表示、hiddenで渡すところは必須です。
受け取り側で一括でhtmlspecialchars_decodeしては如何でしょうか。