по-добре ли е да избягате/кодирате въведеното от потребителя, преди да го съхраните в базата данни, или да го съхраните както е в базата данни и да го избягате, докато извличате?

Защо очаквате, че винаги ще използвате данните в HTML контекст? „I <3 you“ и „I <3 you“ не са едни и същи данни . Затова съхранявайте данните както е предвидено в базата данни. Няма причина да го съхранявате избягал.
HTML избягва данните, когато и само когато е необходимо, ви дава увереността да знаете какво правите. Това:
```
echo htmlspecialchars($data);
```
е много по-добър от:
```
echo $data; // The data should already come escaped from the database.
            // I hope.
```