Şu aşağıdaki kod yapısında escape string kullanmadım çünkü açık olucağını düşünmüyorum fakat sizde bir bakar mısınız emin olalım

Olay : Canlı arama fonkisyonu geliştirdim xml bir dosyadan çekiyorum

livesearch.php dosyam var burada _GET kullanıyorum fakat bu dosyada sql bağlantısı yapmadım.


index.php de script .js ile geliyor _GET alımı


script; ( extra soru; bu arada kodun numaralarında kırmızı çıkıyor js kodunda hata mı var )

 function showResult(str) {
  if (str.length==0) { 
    document.getElementById("livesearch").innerHTML="";
    document.getElementById("livesearch").style.border="0px";
    return;
  }
  if (window.XMLHttpRequest) {
    // code for IE7+, Firefox, Chrome, Opera, Safari
    xmlhttp=new XMLHttpRequest();
  } else {  // code for IE6, IE5
    xmlhttp=new ActiveXObject("Microsoft.XMLHTTP");
  }
  xmlhttp.onreadystatechange=function() {
    if (xmlhttp.readyState==4 && xmlhttp.status==200) {
      document.getElementById("livesearch").innerHTML=xmlhttp.responseText;
      document.getElementById("livesearch").style.border="1px solid #A5ACB2";
    }
  }
  xmlhttp.open("GET","livesearch.php?q="+str,true);
  xmlhttp.send();
}


function penac(theURL,winName,features) {
  	window.open(theURL,winName,features);
}

php ;

$xmlDoc->load("links.xml");


ara = $_GET["ara"];

Böyle bir kullanımda injec açığı gelir mi?

not : ne olur ne olmaz diye livesearche escape string koyayım dedim fakat bu sefer database bağlantısı olmadığı için hata verdi.