Ochrana webu před napadením.

Začínám se trochu víc hrabat v ochraně webu před injection, XSS apod. A nějak nemohu dohledat nikde na webu nějaké triviální základy.

Ochranu před výpisem, vkladem do databáze nějak chápu. Ale je bezpečné použít jen tak:

if (isset($_GET["logout"])) {
echo "odhlášení";
}

nebo je třeba to zabezpečit? :) Protože když tam nemám zadanou hodnotu a GET je bez hodnoty, tj "index.php?logout", tak mi to nebude fungovat:

$get_logout = htmlspecialchars($sql->real_escape_string($_GET["logout"]), ENT_QUOTES);

if ($get_logout) { echo "odhlášení"; }

Nebo např. mám v $_GET["lang"] == "cs";

Takže jestli musím nějak řešit ochranu když jen kontroluji hodnoty a vypisuji si něco sám. Tj. jestli toto může někdo napadnout:

if (isset($_GET["lang"])) {
if ($_GET["lang"] == "cs") { echo "Česky"; }
elseif ($_GET["lang"] == "de") { echo "Německy"; }
}

Když budu pak vypisovat proměnou, tak jasně vložím to takto:

echo htmlspecialchars($_GET["lang"], ENT_QUOTES);

Takže jestli to moc řeším a takto to stačí, nebo může někdo podstrčit hodnoty i do samotného php kódu a nějak to zneužít?