Is `$input` goed geescaped?