По стандарту - обязательны кавычки (именно так я и делаю), но можно обойтись и без них. Только вот можно лохануться, в одном месте поставить кавычки, в другом нет, в третьем вообще забыл поставить, вот вам и XSS атака, конечно, если сайт динамический.