En fait, soit tu fais un <meta http-equiv="content-type" content="text/html; charset=ISO-8859-1" />
Soit tu fais un htmlentities.
Moi, je préfaire la seconde méthode. Comme ça en une seule ligne de code, je gère les accents et je bloque les javascripts et autres morceaux de codes mis dans des zones de saisies.
Par contre, c'est vrai que du coup, je suis obligé de faire des htmlentities partout où je risques d'avoir des accents.