urldecode和pluses - PHP

Question

我有一个表单字段，我将查询字符串放入。

只要它被urldecoded就会被清除，然后我会输入htmlentities，因此它不会产生有缺陷的HTML。

换句话说：

<input type="text" name="example" value="<?php echo htmlentities((urldecode($_GET["example"])); ?>" />

urldecode将加号转换为空格，但有人可能希望在查询中使用正版加号。

两个问题：

1. 在注射等方面足够“安全”。
2. 是urldecode的替代品，不会转换真正的加号

Answer 1

$_GET数组中的字符串已经过urldecoded。你不应该再这样做。

另一方面，如果你真的想在查询字符串中插入一个加号，你应该首先对其进行urlencode。