Сохранение и вывод пользовательских данных

Добрый день
Подскажите правильную логику обработки введенных пользователем данных.

Пользователь вводит данные
Мы данные сохраняем в БД
Выводим страницу пользователю для просмотра, товар например
Позволяем отредактировать эти данные.

Необходимо определится с экранированием тегов HTML для отображения к примеру спасает strip_tags. Где нужно там htmlspecialchars.

Отсюда вопрос, на каком этапе использовать экранирование чистку введенных данных, при сохранении в бд, или при выводе. Если при вставке в БД тогда при редактировании в textarea input попадают HTML теги обрамленные сущностями не читабельными пользователю и тд.?

Вот здесь и используй strip_tags

[quote=kuller][/quote]

вывод в input и в textarea как раз безопасен, а вот на саму страницу нужно через strip_tags мне так кажется
(Добавление)
Как мне кажется или при сохранении сразу вырезать заведомо лишнее
Или сохранять в том виде что ввели, а при выводе на "просмотр" чистить от опасного кода...

Мда?
Ну удачи. Попробуйте в textarea вывести переменную:
$textarea = '</textarea><script>alert(document.cookie)</script>';
А в input
$input = '\'" onfocus="alert(document.cookie)" ';

htmlspecialchars на всё, в чём именно вы намеренно не вставили HTML для вывода как HTML.
strip_tags - нужен довольно редко.

-----
PostgreSQL DBA