%2B - это и есть +

но смысл не в этом, обычно если запрос передается через get + интерпритируется как пробел и при таком:id=1+1 в _GET['id'] зпишится а тут похоже идет через _SERVER['QUERY_STRING'] а потом парсится, при таком раскладе url коды нельзя использовать т.к. они не будут декодироваться а идти в sql запрос так как есть, так что тут как мне кажется вариант только использовать пробелы

__________________
Карфаген должен быть разрушен...