Absolut korrekt, ich hätte zumindest auf fehlendes Escaping und die Trenner hinweisen sollen, aber wenn er es "richtig" machen will, dann wäre es doch klüger etwas wie CGI.pm zu benutzen oder nicht?

Zumindest habe ich damals als CGI noch "in" war gelernt HTTP-Parameter nach Möglichkeit nicht per Hand zu parsen, eben aufgrund der von dir u.a. genannten Fallstricke.



Sowas funktioniert sogar und er kann mit den CGI-Methoden die Parameter verarbeiten/sortieren.

Könnte aber auch mit Kanonen auf Spatzen geschossen sein.