Kdy je nutné ošetřovat post

krakatice:
„je vůbec nutné ho třeba ošetřovat pomocí htmlspecialchars“
Ne. Funkce htmlspecialchars se používá u textů, které se vypisují do HTML stránky.

Viz Escapování - definitivní příručka

krakatice [#3]:
Uvedená příručka je zcela důvěryhodná. Můžete se ptát na konkrétní věci, které jsou s ní, podle jiných zdrojů, v rozporu.
Pro pochopení, kdy je třeba escapovat, je nutné pochopit význam samotného escapování. I vstup, který nejde do db, ale je např. přímo vypsán, je třeba escapovat podle kontextu, kam se vypisuje.

Pokud se 2 vstupy hesel porovnávají, vypočítává se (v php) jejich hash a ten se ukládá do db, není třeba je escapovat. Ale pokud by se použila hashovací funkce na úrovni databáze, již se escapovat musí, protože se vstup předává do jiného kontextu.
(Ačkoliv většinu hashů není třeba escapovat, vstupy do db se zpravidla preventivně ošetřují vždy.)

Není to nutné, to jsem psal už výše.

krakatice:
Ale není to ani zbytečné. Úmyslně neošetřovat vybrané vstupy na základě znalosti jejich struktury přináší do kódu zbytečnou komplexitu navíc, které snižuje bezpečnost. Ošetřovat plošně všechny vstupy do databáze je jednodušší a spolehlivější řešení.

krakatice:
Pozor, říkal jsem plošně ošetřit všechny vstupy do databáze. To je něco dost jiného, než plošně ošetřit všechny vstupy tak, jako kdyby měly jít do databáze (což v zásadě dělalo magic quotes). To je naopak zcela špatně.

Plošně ošetřit všechny vstupy, které jdou do databáze, umí pravděpodobně všechny rozumné knihovny pro práci s databázi (např. dibi nebo Doctrine). Alternativně lze (alespoň ve většině případů) použít vázaní proměnných, které podporuje MySQLi a PDO.

krakatice:
Píšete, že jste četl Escapování - definitivní příručku, ale zdá se, že ji vůbec nechápete. V první řadě je třeba chápat význam pojmu kontext – je to jazyk, ve kterém bude daný vstup interpretován. Je to zcela zásadní, při konkrétní implementaci nelze mluvit o obecném escapování, to neexistuje. Vždy se escapuje pro nějaký kontext, tj. escapujeme pro kontext html, js, sql; pro každý kontext jinak. Z toho plyne odpověď na otázku v [#10]. Escapování pro špatný kontext není escapování, ale rozbití vstupu (protože se ošetřuje špatná množina znaků).
A víc to vysvětlit nedokáži, doporučuji přečíst znovu Escapování - definitivní příručku, Escapování – Wikipedie a cokoliv dalšího, z čeho to pochopíte.