Damit meinst du, dein Server ist erledigt. Kann gut sein, denn hiermit reißt du Sicherheitslöcher noch und nöcher:

Nein, sicher nicht. $z[1] ist das Ergebnis der Abfrage aus der Datenbank (fetch_row)
$_GET["s"] kommt NICHT aus einer Nutzereingabe.

Den Rest des Threads kann ich mir schenken. Wenn einer eine bessere Lösung gewusst hätte wäre es sinnvoll gewesen diese hier zu posten, aber so...

Rainer