如何安全地回顯$ _GET？

Question

<?php 
    echo $_GET['id']; 
?> 

對我來說看起來不太安全..我們最好選擇顯示GET元素嗎？

對所有的特殊字符有點像preg_replace或者htmlspecialchars？

Answer 1

取決於你正在做的事$_GET['id'];

如果您想要將其插入數據庫，只需使用Prepared Statements。 [足夠]

如果您只是想在您的HTML頁面上顯示它，請使用此代碼。

<?php 
    echo htmlentities($_GET['id']); 
?> 

Answer 2

<?php 
    echo htmlspecialchars($_GET['id']); 
?> 

Answer 3

這應該是足夠了：

htmlspecialchars($_GET['id'], ENT_QUOTES, "UTF-8"); 

Answer 4

如果是id，我覺得應該是數字 - 然後echo intval($_GET['id']);

Answer 5

用htmlspecialchars（）如果它是一個字符串，或轉換爲適當的類型，如果它是數字（INTVAL（），或（INT）等），例如：

$id = (int)$_GET['id']; 
//or 
echo (int)$_GET['id'];