Мне кажется тут проблема не при вносе данных в базу, а при выдаче.
Где-то htmlspecialchars_decode срабатывает или что-то типа того.
Если в самой базе посмотреть, данные туда вбиваются с отработанным htmlspecialchars или как есть?
<script> код prompt("92923") код</script>
Такая запись в самой БД?
<script> код prompt("92923") код</script>gt;
Или такая?
