php - 即使用于简单函数，我是否应该对每个 $_GET 和 $_POST 变量进行消毒？

Question

愚蠢的问题，我是否应该对每个 $_POST / $_GET 变量进行消毒，即使它只是用于比较之类的东西？

例子：

if ( $_POST[ 'example' ] === 1 ){ // Do Something }

我理解为数据库等使用准备好的语句的想法，但我很好奇/担心用户放置一些 PHP 代码或其他东西并且它在检查期间运行。

Answer 1

如果您的输入可以用于评估它们的上下文中（例如，在数据库脚本中或作为网页上的 HTML），您只需要担心对输入进行清理。