htmlspecialchars kullanımı yapmanız tamamen gereksiz, gelen veriyi md5 ile şifrelediğinizde sadece harf ve sayılar kalıyor. MD5 decode edilebilen bir şifreleme türü değil, o yüzden bir html kod post edilsede zaten bunu md5 ile şifrelediğiniz için göremezsiniz.