Tach!
In deinem Beispiel liegen die Werte von
$string
und$key
in der Kontrolle deines Scripts, ja.Das ändert sich schlagartig, sobald du Nutzereingaben verarbeitest, die per se als böse anzusehen sind.
Bitte nicht auf Benutzereingaben beschränken. Vielmehr ist die Datenquelle beim kontextgerechten Behandeln der Werte für die Ausgabe komplett uninteressant. Alle Daten müssen dem Kontext gerecht kodiert werden, nicht nur spezielle.
dedlfix.