如何安全地回显 $_GET ？

Question

<?php
    echo $_GET['id'];
?>

对我来说看起来不太安全.. 显示GET元素的最佳选择是什么？

像preg_replace所有特殊字符上的a 一样，或者htmlspecialchars？

Answer 1

取决于你在做什么 $_GET['id'];

如果您想将其插入数据库，只需使用Prepared Statements. 【这就够了】

如果您只想在 HTML 页面上显示它，请使用此代码。

<?php
    echo htmlentities($_GET['id']);
?>