我还应该逃跑吗$_GET和XSS、SQL注入和其他PHP安全问题 如果我从URL字符串中检索$YET，而不是在网页上显示数据，或者用它做任何SQL操作，我是否应该考虑使用转义、正则表达式和其他安全代码？字符串可以包含任何字符

希望这是有意义的。

如果您没有输出字符串或将其传递给另一个程序（sql、open file等），则不需要对其进行转义。

如果您没有在sql语句中使用URL参数，则不能将其用作sql注入。

视情况而定。你用这些数据做什么？在

中使用if

？你在用它做什么？也可能重复，这里有一篇相关的博客文章：（来自我的博客）…我将把这个字符串传递给一个独立的应用程序。但是，如果你用它在页面上输出它，那么还有另一个危险（XSS）@Vladislav-True，我本来要提到的是，但是他说他没有输出参数。如果我把它传递给一个备用应用程序（不是浏览器、sql等等），会怎么样？@newphper：将其转义以符合应用程序的规则。您如何将其传递给应用程序？使用或函数？（或php中的倒勾操作符）？那你就得逃离他们。否则，当用户从运行php时，您将允许所有人在系统上执行任意命令。据我所知，这可能是一个很好的起点，数据以json blob的形式传递给应用程序。抱歉，我仍然在想这个问题。即使对于json对象，也要使用

escapeshellarg

（json格式使用许多shell特殊字符：

{}；“

）！比Sorry更安全