Должен ли я все еще сбежать?$ _GET и XSS, SQL-инъекция и другие проблемы безопасности PHP

Question

Если я получаю данные с помощью $ _GET из строки URL-адреса и не отображаю эти данные обратно на веб-странице или не выполняю с ним какие-либо действия SQL, следует ли мне по-прежнему использовать escape, регулярное выражение и другой код безопасности? Строка может содержать любой символ.

Надеюсь, что это имеет смысл.

Answer 1

если вы не выводите строку или не передаете ее другой программе (sql, open file, ...), вам не нужно ее экранировать.

Answer 2

Если вы не используете параметр URL в операторе SQL, его нельзя использовать как инъекцию SQL.