/ Проверяем GET-параметры, предотвращая SQL-инъекцию $_GET['page'] = intval($_GET['page']); $_GET['id_catalog'] = intval($_GET['id_catalog']);
<?php echo htmlspecialchars($var); // echo "строка ".htmlspecialchars($var)." продолжение строки"; ?>