这对于XSS攻击

来说是非常脆弱的

Always清理用户输入，不要输出用户输入而不转义

您的代码将执行用户可以传递的任意HTML、CSS和JavaScript。试试这个简单的例子：

?var=">alert("How's that?")

新版本的Chrome和Safari将阻止JavaScript插入，但这在最新的火狐中仍然有效。

转义和消毒

您可以使用像htmlspecialchars或htmlentities这样的函数来转义用户输入。了解更多信息：如何用HTML/PHP？。

使用净化你的投入的各种过滤器函数也有多种方法。

或者，您可以创建一个可能的ids的白列表，并根据此列表检查输入：

$ids = ['value-a', 'value-b'];
$id = in_array($_GET['val'], $ids) ? $_GET['val'] : null;