["avatar"] = string(36) """ - я в БД руками записал скрипт, типа меня хакнули, '"<script>alert(''here i am'')</script>'
почему в дампе только кавычки показываются? htmlspecialchars($modelkey, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8'); эта функция не вывозит скрипт, он все равно исполняется