Php 何时修改和保护传递到URL的变量？

谈到SQL注入，我对何时需要保护URL变量有点担心。是否有必要保护不会在数据库中使用、但仅在代码中使用的变量，或者是否仍有可能注入恶意内容。例如：

<?php
$format = $_GET['format'];
//other potentially vulnerable code? (no SQL)
echo date($format);
?>

这是需要额外的安全性，还是在不需要的情况下？如果后者是真的，那么我们应该寻找什么来知道保护变量的必要性呢

---

作为一个完整的旁注，不完全值得它自己的问题线程…=>和->之间有什么区别？

在这段代码中，您有html注入，更常见的称为XSS。我明白了…这是否意味着使用strip_tags（）或htmlspecialchars（）是否是唯一必要的度量？请阅读问题域的介绍。此

=>

用于数组，此

->

用于对象和方法…是否=>也用于foreach？它们是可互换的还是会导致解析错误？