От: URL и $_GET
То по принцип с пост и с гет все тази. И при двата варианта трябва да има защита. Основните стъпки са ескейпване на специални символи и типизиране на данните. Т.е. ако за пост/гет-променливата i очакваш цяло число, от правиш проверка преди да го използваш дали е от дадения тип.