$_GET和$_SERVER

$_GET[ ' ' ] 获取的是urlencode编码之前的内容，$_SERVER[ ' ' ]获取的是urlencode之后的内容。

怎么讲？我们提交的数据，举个例子不如 www.xxoo.com/index.php?keyword=【word'"`<>!@$%^(){}*:;,.~】,方括号里面的内容是我们提交的，通常我们提交的数据浏览器首先会对他们进行url编码，也就是urlencode，然后服务器获取我们提交的数据。这时候服务器获取的方式就有一种是$_GET方式，一种是$_SERVER['quary  string']方式，当然还有其他的方式，通常浏览器对提交的数据编码具有差异性，比如不会对我们调教的特殊字符进行编码处理，这里就有危险级漏洞利用的发生，如果服务器端对我们提交的数据未做过滤处理，只是采用$_GET 或$_SERVER['quary string']接收，（此时这两种方式一样，因为ie未做urlencode处理），就有可能有xss发生。然后如果是firefox或者chrom浏览器，他们会对我们提交的特殊字符做urlencode编码处理，（这里chrom会对"<>做了urlencode，firefox对' " ` <>做了urlencode处理）此时，服务器所用的接受方式就有差别了，前提（他们未对提交的数据进行过滤处理）对于chrome如果服务器用$_SERVER['QUARY STRING']接受，此时是urlencode之后的，如果输出还相对安全些，如果直接是$_GET[]输出，那么获取的是urlencode之前的，即为对我们的提交做编码处理，危险更容易发生。