kode
В реальной ситуации если нужен не HTML-вывод, а текстовый вывод ваш код даст искажение исходных данных (например " заменится на & quote ; что в виде текста не одно и то же), а кроме того о какой XSS может идти речь, если результат рассматривается в виде текста, а не интерпретируется как html?Результат нужен был не ввиде HTML, а ввиде текста: например в реальной ситуации предотвратит от XSS. (это лишь тест)
В пределах погрешности измерения. В данном случае такая экономия не обоснована, так как не оптимальность тех-же запросов к БД на 3-4 порядка сильнее влияет на производительности.Какой вариант по вашему быстрее (давайте рассуждать без пренебрежений)?