在Web开发场景中，经常需要把页面里HTML元素的内容传递到后端PHP文件做处理，AJAX GET请求是常用的实现方式，不过如果忽略安全处理，很容易引发数据泄露、恶意注入等问题，需要掌握完整的实现和安全防护方法。
前端获取HTML元素内容并发送AJAX GET请求
首先需要从页面中获取目标HTML元素的内容，这里以获取一个<input>输入框的内容为例，使用原生JavaScript实现AJAX GET请求。
获取元素内容
可以通过document.getElementById或者document.querySelector等方法获取元素，再读取其value或者innerText属性得到内容。
构造并发送AJAX GET请求
GET请求的参数需要拼接在请求URL的后面，同时要对参数做编码处理，避免特殊字符导致请求异常。下面是完整的示例代码：
// 获取id为username的input元素内容
var inputElement = document.getElementById('username');
var content = inputElement.value;
// 对内容进行编码，处理特殊字符
var encodedContent = encodeURIComponent(content);
// 构造请求URL，假设PHP文件为handle.php
var url = 'handle.php?user_content=' + encodedContent;
// 创建XMLHttpRequest对象
var xhr = new XMLHttpRequest();
// 初始化GET请求
xhr.open('GET', url, true);
// 设置请求完成后的回调
xhr.onreadystatechange = function() {
if (xhr.readyState === 4 && xhr.status === 200) {
// 请求成功，处理返回结果
console.log(xhr.responseText);
}
};
// 发送请求
xhr.send();
这里使用encodeURIComponent对内容编码非常重要，它可以把空格、中文、特殊符号等转换成URL安全的格式，避免请求解析错误。
PHP文件接收并处理传递的内容
PHP端通过$_GET超全局数组可以获取到传递过来的参数，但是不能直接使用，必须做安全校验和过滤，防止恶意数据攻击。
基础接收与校验
首先要判断参数是否存在，再对参数做类型、长度等基础校验，不符合要求的数据直接拒绝处理。
<?php
// 判断参数是否存在
if (!isset($_GET['user_content'])) {
echo '参数不存在';
exit;
}
// 获取参数内容
$rawContent = $_GET['user_content'];
// 校验参数长度，假设内容长度不能超过50
if (strlen($rawContent) > 50) {
echo '内容长度不符合要求';
exit;
}
?>
安全过滤处理
如果传递的内容需要存储到数据库或者输出到页面，还需要做对应的过滤，比如去除危险字符、转义HTML标签等。
<?php // 去除字符串两端的空白字符 $content = trim($rawContent); // 过滤HTML标签，防止XSS攻击 $content = htmlspecialchars($content, ENT_QUOTES, 'UTF-8'); // 如果需要存入数据库，还可以根据数据库类型做对应的转义处理 // 比如使用mysqli的话可以用mysqli_real_escape_string // 处理完成后可以返回结果 echo '接收并处理后的内容：' . $content; ?>
注意事项
- GET请求的参数会暴露在URL中，不适合传递敏感信息，比如密码、身份证号等，这类数据建议使用POST请求传递。
- 前端编码和后端解码要对应，前端用
encodeURIComponent编码后，PHP端会自动解码，不需要额外做解码操作。 - 所有从前端传递过来的数据都不可信，无论前端做了多少校验，后端都必须做完整的安全过滤，不能省略后端校验步骤。
- 如果传递的内容包含大量数据，GET请求有长度限制，一般浏览器限制URL长度在2KB到8KB不等，大量数据建议改用POST请求。
常见问题解答
为什么传递中文会出现乱码？
一般是因为前后端字符编码不一致，前端编码和后端处理都使用UTF-8编码就可以避免这个问题，PHP文件开头可以设置header('Content-Type:text/html;charset=utf-8');保证输出编码正确。
传递的内容包含特殊符号怎么办？
前端使用encodeURIComponent编码后，特殊符号会被转换成对应的编码格式，PHP端接收后会自动还原，只要不做额外的错误解码操作就不会有问题。