Ok. Ich nehm das zurück - Bei selbst erzeugten Fehlermeldungen mach PHP das nicht.

[Raketenhandbuchleser]

Mit

<?php

error_reporting(E_ALL);
ini_set("display_errors", 1);
trigger_error( '<script>alert("böse");</script>', E_USER_ERROR );

klappt das. Soll heißen: Bei selbst generierten Fehlermeldungen entschärft PHP nicht und Du hättest recht, wenn die Ausgabe der Fehler vorgesehen wäre.