$_GET mit htmlspecialchars trotz PDO?

[Cc_Cc_Cc]

Tag,

hab eine Suchfunktion wenn ich eine Person finden möchte.

 Spoiler

PHP Code:

$name = $_GET['name'];
$sql = "SELECT * FROM user WHERE user = :name";
$stmt = $pdo->prepare($sql);
$stmt->BindParam(':name', $name);
.. 


Sollte man trotzdem noch htmlspecialchars anwenden oder kann man das so lassen? Höre immer das man unbedingt htmlspecialchars nutzen soll, aber da ich PDO anwende brauch ich es doch nicht oder doch?

[type.]

Das hier ist eigentlich eine sehr schlüssige Erklärung zum Thema und Antwort auf die Frage: ^—^
Ich spare mir also mal jeden weiteren Kommentar.

Kurzantwort: Ich würde sagen, dass es nicht notwendig ist. Hat jemand Einsprüche?

[Devsome]

Nimm lieber ein Post Request anstatt mit GET zu arbeiten.

[Cc_Cc_Cc]

Originally Posted by Devsome

Nimm lieber ein Post Request anstatt mit GET zu arbeiten.

Der nachteil mit POST ist immer das, wenn ich wieder auf die Taste zurück gehe im Browser, immer ein "Erneute Formular-Übermittlung bestätigen" kommt. Das ist sehr nervig für die User.

Oder kann man das umgehen?

[florian0]

PDO/Prepared Statements beschützen dich vor SQL Injections.
htmlspecialchars beschützt dich vor XSS.

Zwei verschiedene Sachen. Ob GET oder POST hat damit überhauptreingarnichts zu tun.

[Devsome]

Originally Posted by Cc_Cc_Cc

Der nachteil mit POST ist immer das, wenn ich wieder auf die Taste zurück gehe im Browser, immer ein "Erneute Formular-Übermittlung bestätigen" kommt. Das ist sehr nervig für die User.

Oder kann man das umgehen?

Ja kann man.