perchè trasformando in entità html i monoapici verranno cambiati e non si potrà modificare la query sql, così si evita l'injection... o sto dicendo un eresia??
poi al limite con mysql_real_escape_string non si può proteggersi??