在PHP Web应用程序（cakephp 2.x）中，我面临URL中的JavaScript注入
https://example.com/products/items/MTC5“ onmouseover％3Dalert（9）％3B”
由于上面的网址，在页面上的悬停上会出现警报。
我试图从网址中删除（“，'）引号，但仍然会出现警报
$ _ SERVER ['REQUEST_URI'] = str_replace（'“'，''， urldecode（$ _ SERVER ['REQUEST_URI']））;
在URL中找到引号后，是否必须重定向URL？任何建议