// Checke, ob der Submit-Button geklickt wurde
if (isset($_POST['go'])) {
	// Ja, wir sind im zweiten oder x-ten Affenschwanz-Durchgang
	$feedback = "<div class=\"feedback_positive\">";
	$feedback .= "<p>Das Formular wurde verschickt.</p>";
    // Hier passiert das Gefährliche: Ausgabe des User-Inputs auf die Seite
    $feedback .= "<p>Hallo ".$_POST['username']."</p>";
	$feedback .= "</div>\n";
    // Ungefilterte Übergabe von $_POST- zu "normalen" PHP-Variablen
	$usernameValue = $_POST['username'];
}
else {
	// Nein, wir sind im ersten Affenschwanz-Durchgang
	$feedback = "<div class=\"feedback_negative\">";
	$feedback .= "Das Formular wurde noch nicht verschickt. Klicke den Submit-Button!";
	$feedback .= "</div>\n";
    // Setze die Variable, damit beim ersten Durchgang kein Fehler ensteht.
	$usernameValue = "";
}