クラックとかでもなければDB内の改竄はできない気もするんですが
データを信用するなとのことなので出力時にhtmlspecialcharsを挟んでます
しかし装飾系のタグが使いたいので以下のようにしてみました
問題ありますか？

$str = "＠＜b＠＞強調＠＜/b＠＞＠＜span class=＠”red＠”＠＞赤色＠＜/span＠＞"; //DBから取得したデータ
echo str_replace(array("＠＜","＠＞","＠”"), array("<",">","\""), htmlspecialchars( $str, ENT_QUOTES, "UTF-8" ));
検索文字はすべて全角、上はあくまでサンプルで実際の検索文字は違います