htmlspecialchars использовать нужно для защиты от XSS, а не от sql injection.

И не до записи в базу (от чего объем увеличивается), а перед выводом пользователю.

Читай еще раз первый пост:

mysql_real_escape_string()