htmlspecialchars()の 第3引数は指定したほうがいいらしい

文字コードに起因する脆弱性を防ぐ「やや安全な」php.ini設定 - 徳丸浩の日記

技術力のある方の中には、「でも入口で不正な文字エンコーディングが除去されているから、htmlspecialcharsの第3引数は指定しなくても一緒でしょ」と言う人もいると思いますが、以下のような実効性もあるのです。

パフォーマンスへの影響との天秤かな？（まあそれほどパフォーマンスへの影響はないと思うけど。）
指定しておけば漏れ対策にもなるしね。