Einfach dann escapen wenn es sein muss. Sprich wenn Du die Daten aus der DB ausliest und weiterverwendest.

In der DB an sich sind die Usereingaben weder sicher noch unsicher...