urldecode和pluses PHP

Question

我有一个表单字段，我将一个查询字符串插入其中。

只要它被urldecoded，就会清除它，然后我会添加HTML实体，这样它就不会创建有缺陷的HTML了。

换言之：

<input type="text" name="example" value="<?php echo htmlentities((urldecode($_GET["example"])); ?>" />

urldecode将plusses转换为空格，但是有人可能希望在查询中使用真正的加号。

两个问题：

1. 在注入等方面已经足够安全了。
2. 是urldecode的另一种选择，它不会转换真正的+

。

Answer 1

$_GET数组中的字符串已经被解码。你不应该这样做。

另一方面，如果您真的想在查询字符串中插入一个加号，则应该首先对其进行urlencode。