[JavaScript][PHP]Filtrowanie pobrnych danych htmlspecialchars() Opcje

[q3d]

Pobieram z bazy dane. Część z nich to np. wartości atrybutów HTML. Czy one również mają być filtrowane htmlspecialchars();?

[PHP] pobierz, plaintext 
<p class="'.htmlspecialchars($config['class']).'">'.htmlspecialchars($content).'</p>
[PHP] pobierz, plaintext 

Gdy próbowałem:

[PHP] pobierz, plaintext 
$config['class'] = '<script>alert()</script>';
 
<p class="'.$config['class'].'">...</p>
[PHP] pobierz, plaintext 

to skrypt JS się nie wykonuje.

[nospor]

WYbacz, ze troche nie na temat moze, ale jak widze, ze wklase probujesz wlozyc taki tekst:
"<script>alert()</script>"
To odnosze nieodparte wrazenie ze cos tu jest nie halo i zamiast martwic sie o escapowanie to moze lepiej poprawic to i owo w samej strukturze aplikacji?