WordPress SQL注入URL参数

Question

我编写了一个非常小的WordPress应用程序，它使用URL参数值在公共站点上生成html内容，如下所示：

URL示例：

www.mydomain/?prmtr=Chicago

代码：

$prmtr = isset( $_GET['prmtr'] ) ? $_GET['prmtr'] : 'NewYork';

可能的HTML集成如下所示

<h1>Hello Person from <?php echo $prmtr; ?></h1>

WordPress是否为我做了所有“肮脏的工作”，比如阻止攻击者注入SQL命令或其他东西？

谢谢你，本

Answer 1

不是的。这是原始的PHP。你得保证自己的安全。

只要您对$prtmr所做的一切是打印出来，您就不需要担心SQL注入，只需要XSS攻击。