add 'htmlspecialchars' for input() helper function