Ano, je to záměr. Kdyby někdo napsal do komentáře
<div style="width: 100%; height: 100%; background-color: black; color: red">
hacked by debil
</div>
uloží se to do db s entitami a při načtení z db ty tagy fungovat nebudou, jelikož se načtou jako text. (jsem jako lstivý Afghánec)