PHP通过$_GET获取URL查询参数，需结合filter_input验证、htmlspecialchars输出转义及预处理语句防SQL注入，并用isset或??运算符处理缺失参数，同时可借助parse_str解析自定义查询字符串，或在框架中使用请求对象统一管理输入。
PHP获取GET请求参数的核心机制是利用全局超数组
$_GET。这个数组在每次PHP脚本执行时，会自动解析当前URL中的查询字符串（即URL中问号
?之后的部分），并将其中以
key=value形式存在的参数对，以关联数组的形式提供给你的代码。
直接输出解决方案即可
要获取URL中的GET参数，最直接、最常用的方法就是使用PHP内置的
$_GET超全局数组。当你的URL长这样：
http://example.com/page.php?id=123&name=Alice，那么
$_GET数组就会自动包含这些信息。你可以通过键名来访问它们，比如
$_GET['id']会得到
123，而
$_GET['name']则会是
Alice。
这东西用起来非常简单，就好像PHP帮你把URL里那些零散的信息整理成了一个方便查找的抽屉。但话说回来，光知道怎么取可不够，毕竟网络世界里什么情况都有。比如，如果用户访问的URL是
http://example.com/page.php，根本没有
id或
name参数，这时候直接去访问
$_GET['id']就会报错。所以，在实际开发中，我们通常会用
isset()函数来检查一个参数是否存在，或者用
empty()来判断它是否为空（包括不存在的情况）。
立即学习“PHP免费学习笔记（深入）”；
一个简单的例子：
";
} else {
echo "URL中没有提供用户ID。
";
}
// 检查 'city' 参数是否存在且不为空
if (!empty($_GET['city'])) {
$userCity = $_GET['city'];
echo "用户城市是: " . $userCity . "
";
} else {
echo "URL中没有提供用户城市。
";
}
// 也可以给参数设置一个默认值，如果它不存在的话
$page = $_GET['page'] ?? 1; // 如果'page'参数不存在，就默认是1
echo "当前页码是: " . $page . "
";
?>这种方式，直观且高效，几乎是所有PHP Web应用处理GET请求的起点。
如何安全地处理和验证GET参数以防止潜在风险？
拿到GET参数只是第一步，但如果直接把它们用到数据库查询、文件路径或者HTML输出中，那简直是给攻击者敞开了大门。我个人觉得，安全处理和验证GET参数，是任何一个负责任的开发者都必须面对的挑战。这里面涉及的风险主要是SQL注入和XSS（跨站脚本攻击），当然还有一些其他的，比如文件包含漏洞等等。
要避免这些问题，有几个策略是必须遵循的：
-
输入验证 (Validation)：这是最核心的一步。你得确保接收到的参数符合你预期的格式和类型。比如，如果你期望一个ID是整数，那就得检查它是不是真的一个整数。PHP提供了
filter_var()
和filter_input()
函数，它们简直是处理输入的好帮手。filter_input()
尤其好用，因为它直接从特定的输入类型（如INPUT_GET
）获取数据，并且可以同时进行过滤和验证。 数据净化 (Sanitization)：即使验证通过了，对于字符串类型的输入，也最好进行净化，移除潜在的恶意代码。
FILTER_SANITIZE_STRING
(在PHP 8.1+中已废弃，建议使用其他方法，如手动处理或strip_tags
配合htmlspecialchars
)、FILTER_SANITIZE_EMAIL
等都是不错的选择。但更重要的是，永远不要相信用户输入，尤其是在输出到浏览器或写入数据库之前。-
输出转义 (Escaping Output)：这是防止XSS攻击的关键。任何从用户那里获取的数据，在将其显示到网页上之前，都应该使用
htmlspecialchars()
或htmlentities()
进行转义。这会将
&
转换成&
，<
转换成zuojiankuohaophpcn
等，从而阻止浏览器将恶意脚本解析为HTML。 -
预处理语句 (Prepared Statements) 用于数据库操作：这是防御SQL注入的黄金法则。永远不要直接将用户输入拼接到SQL查询字符串中。使用PDO或MySQLi的预处理语句，让数据库驱动来处理参数，而不是你自己拼接。
prepare("SELECT * FROM users WHERE id = :id"); $stmt->bindParam(':id', $userId, PDO::PARAM_INT); $stmt->execute(); $user = $stmt->fetch(PDO::FETCH_ASSOC); // ... 处理结果 } ?>这比任何手动转义都来得可靠。
当GET参数缺失或格式不正确时，PHP程序应如何优雅地响应？
在实际应用中，用户请求的URL参数可能不完整，或者格式不对。这时候，程序不能直接崩溃或者显示难看的错误信息，那会严重影响用户体验。优雅地处理这些情况，在我看来，是衡量一个应用健壮性的重要标准。
通常我会这样考虑：
-
提供合理的默认值：对于一些非强制性的参数，如果缺失，可以给它们一个预设的默认值。比如分页的页码，如果用户没传
page
参数，默认就是第一页。['default' => 10, 'min_range' => 1]]); echo "当前显示每页 " . $limit . " 条数据，位于第 " . $page . " 页。"; ?>
这样，即使URL里没有这些参数，程序也能正常运行，并提供一个合理的默认行为。
-
友好的错误提示与重定向：如果某个参数是强制性的，并且缺失或格式错误，那么就不能简单地给个默认值了。这时候，应该给用户一个清晰的反馈。
-
重定向到错误页面或首页：这是一种常见的处理方式，尤其是在参数错误导致页面无法正常显示时。你可以将用户重定向到一个专门的错误提示页面，或者带上错误信息的首页。
-
在当前页面显示错误信息：如果错误不是致命性的，可以在当前页面顶部或相关位置显示一个简短、清晰的错误提示，告诉用户问题出在哪里，以及可能的解决方案。
' . htmlspecialchars($errorMessage) . '
-
