<quote>input met vervelende symbolen</quote> De wereld bevat namen met 'vervelende symbolen'. Denk aan 'modezaak C&A'. Of de meme <3. Je kunt ze niet uitfilteren omdat daarmee de betekenis verloren gaat. Je kunt ze ook niet 'sanitizen' aan de invoerkant. C&A wordt dan C&amp;A. Je kunt deze gesanitizede waarde *alleen* nog maar gebruiken om in een HTML-pagina te plaatsen, of in een URL-parameter. Als je het in een database stopt gaat het mis. Want de zaak heet nog steeds C&A, niet C&amp;A. En de & is geen vervelend symbool in SQL. En wat als je die C&A niet alleen op een pagina wilt plaatsen, maar ook in een shell-process meegeven, dan is zowel C&A als C&amp;A vervelend want die & betekent in Linux: 'einde van deze commando-regel, en in de achtergrond draaien. Daarom mijn oproep voor uitvoer-encoding. Dat gaat altijd goed. En als een hacker een poging doet, wil je dat als onnodige vervuiling weggepoetst hebben zodat je het niet ziet, of wil je het loggen en er met fail2ban op reageren en dat ...