Ну так вы же теперь отдаете html, а значит и говорить о безопасности не приходится. Теперь у вас явная дыра для XSS атак.

Так я их модерирую и без модерации они ни как не появятся на странице

А если так и вручную убирается все опасное, то сохраняйте их в базе как есть.

так они в базе хранятся как есть.
вывод на страницу был такой

echo $this->escape($item->comment);

подправил его я как писал выше

$comment_html = html_entity_decode($this->escape($item->comment));
  echo $comment_html;

Ну так не применяйте к этому при выводе данный метод, зачем сначала преобразовывать а затем декодировать, если можно вывести как есть?