[JavaScript][PHP]Filtrowanie pobrnych danych htmlspecialchars() Opcje

[q3d]

Pobieram z bazy dane. Część z nich to np. wartości atrybutów HTML. Czy one również mają być filtrowane htmlspecialchars();?

[PHP] pobierz, plaintext 
<p class="'.htmlspecialchars($config['class']).'">'.htmlspecialchars($content).'</p>
[PHP] pobierz, plaintext 

Gdy próbowałem:

[PHP] pobierz, plaintext 
$config['class'] = '<script>alert()</script>';
 
<p class="'.$config['class'].'">...</p>
[PHP] pobierz, plaintext 

to skrypt JS się nie wykonuje.

[q3d]

Czy dobrze rozumiem?

Jeżeli mam pewność, że dane znajdą się wewnątrz podwójnego cudzysłowu: class="'.$class.'" to mogę używać escapeHtml() z tej klasy. Natomiast jeżeli nie mam takiej pewności powinienem używać: escapeHtmlAttr()?

Natomiast filtrować wyprowadzana dane należy zawsze niezależnie od tego czy wartość atrybutu jest w podwójnym, pojedynczym czy bez cudzysłowu?