use POST parameter
add injection test