Должен ли я при использовании какого-либо популярного фреймворка обрабатывать $_POST и $_GET данные функцией htmlspecialchars (или подобными)?
Функция htmlspecialchars применяется не при сохранении в БД и не при получении значений из неё - она нужна для экранирования пользовательского ввода, который попадает в итоговый html.
Для ответа на свой вопрос, воспользуйтесь документацией фреймворка, который вас интересует. Вот, для начала, ссылка на документацию Laravel.
При выводе записей из бд нужно делать экранирование от xss самому. Курите доки по вашему шаблонизатору и классам экранирования в фреймворке.