>>203

途中送信すまん。

function h($str){
return htmlspecialchars($str);
}

で
h($_GET['add'])とした方が良い。

あと、CSRF的に危ないかも。。