WordPressの検索窓から入力した値は the_search_query()で表示、get_search_query()で取得できる。

念のため調べてみたらget_search_query()の返り値はサニタイズされてないとのこと。

もちろんWordPress自体にサニタイズ関数が用意されてるので それを使えばいいんですがいっぱいありすぎ。

わからなかったらこれを使っとけみたいな一押し関数ないのかな？wp_specialcharsあたりか？

とりあえずget系は注意した方がいいのかなって感じです。