im allgemeinen escaped man erst bei der ausgabe bzw. bei der benutzung. man kann ja vorher nicht wissen, was an einem string gefäehrlich ist.
für html muss man <>&"' escapen, bei übergabe an die kommandozeile wiederum andere zeichen, und bei SQL womöglich nochmal andere zeichen.
eine umwandlung von einem string in JSON sollte eigentlich auch nicht ungefragt irgendwelchen code ausführen. oder hast du ein konkretes beispiel?