php - それでも逃げるべきですか？$_GET と XSS、SQL インジェクション、およびその他の PHP セキュリティに関する懸念事項

Question

URL 文字列から $_GET を使用してデータを取得し、そのデータを Web ページに表示したり、SQL アクションを実行したりしない場合でも、エスケープ、正規表現、およびその他のセキュリティ コードの使用を検討する必要がありますか? 文字列には任意の文字を含めることができます。

それが理にかなっていることを願っています。

Answer 1

文字列を出力したり、別のプログラム (sql、ファイルを開くなど) に渡したりしない場合は、エスケープする必要はありません。

Answer 2

SQL ステートメントで URL パラメータを使用していない場合、SQL インジェクションとして使用することはできません。