PHPでﾌｫｰﾑからﾃﾞｰﾀを受け取り保存するﾌﾟﾛｸﾞﾗﾑを書いています｡ XSSとか気にしながら書いています｡ﾃﾞｰﾀﾍﾞｰｽへの接続はPDOでやっています｡ htmlspecialchars…

PHPでﾌｫｰﾑからﾃﾞｰﾀを受け取り保存するﾌﾟﾛｸﾞﾗﾑを書いています｡
XSSとか気にしながら書いています｡
ﾃﾞｰﾀﾍﾞｰｽへの接続はPDOでやっています｡

htmlspecialcharsは､ﾃﾞｰﾀﾍﾞｰｽに保存したﾃﾞｰﾀを表示する時に利用することはわかりました｡

ただ､わからない事は､ﾌｫｰﾑのﾃｷｽﾄﾎﾞｯｸｽに一度保存したものを呼び出し初期値としてvalueにｾｯﾄしています｡そして､必要に応じてそのﾌｫｰﾑの内容を変更して保存します｡

この時､ﾃｷｽﾄﾎﾞｯｸｽにはhtmlspecialcharsにて変換された文字列が表示されていると思います｡例えば＆ampです｡

これを再度保存するときは特に何もしなくてもｾｷｭﾘﾃｨ的には問題ないのでしょうか｡

それとも保存する前にはhtmlspecialchars_decodeで変換を戻してから保存し､表示する時にまたhtmlspecialcharsにて変換するべきなのでしょうか｡

なお､htmlspecialcharsを利用するときにはENT_QUOTESをｵﾌﾟｼｮﾝで指定しています｡
それから､文字ｺｰﾄﾞはUTF8を使っており､ﾌﾟﾘﾍﾟｱﾄﾞｽﾃｰﾄﾒﾝﾄを使ってSQLを構築しています｡

ﾃｷｽﾄﾎﾞｯｸｽにはhtmlspecialcharsにて変換された文字列が表示されていると思います｡例えば＆ampです｡

valueに＆ampを入れるとﾃｷｽﾄﾎﾞｯｸｽには＆と表示されます
簡単な例を作りましたので確認してみてください

<html>
<body>
 <form method="get">
 <input type="text" name="input1" size="30" value="&lt;a&gt;"><br />
 <input type="text" name="input2" size="30" value="&amp;"><br />
 <input type="submit" />
 </form>
</body>
</html>

再度保存するときは特に何もしなくてもｾｷｭﾘﾃｨ的には問題ないのでしょうか

ｸﾗｲｱﾝﾄで何が行われているかはわからないのでﾊﾞﾘﾃﾞｰｼｮﾝは常に必要です

保存する前にはhtmlspecialchars_decodeで変換を戻してから保存し､表示する時にまたhtmlspecialcharsにて変換するべきなのでしょうか

valueに＆ampを入れるとﾃｷｽﾄﾎﾞｯｸｽには＆と表示されて＆が送信されます
＜＞’”なども同様です
上に書いたﾌｫｰﾑをsubmitしてみるとｱﾄﾞﾚｽ欄に結果が現れるので確認してみてください
保存前のhtmlspecialchars_decodeは不要で､表示する時にまたhtmlspecialcharsが必要なことがわかるはずです