[php] Bezpieczne includowanie plików Opcje

[mos]

Od zawsze zastanawiała mnie sprawa - na ile to możliwe - bezpiecznego includowania/wyświetlania includowanych plików. Czy takie rozwiązanie wydaje się Wam bezpiecznym:

[PHP] pobierz, plaintext 
$dostepne_strony = array('info','szukaj');
if(isset($_GET['pokaz'])) {
    $pokaz = $_GET['pokaz'];
} else {
    $pokaz='';
}
if(!in_array($pokaz,$dostepne_strony)) $pokaz=$dostepne_strony[0];
if(file_exists($pokaz.'.php')) include($pokaz.'.php');
else echo '<p>brak strony do wyświetlenia</p>';
?>
[PHP] pobierz, plaintext 

no właśnie - jak bezpiecznie includować pliki? Trzeba/należy używać DEFINE, czy może ten sposób wystarczy?
Zapraszam do dyskusji.

Ten post edytował mos 17.06.2011, 08:59:13

[glencun]

Jest to bezpieczne, bo sprawdzasz czy dany plik istnieje, nie mniej jednak przydałoby się jeszcze oczyścić wprowadzone dane z $_GET, koniecznie.

Z kolei jeśli chodzi o tablicę z nazwami, to musiałbyś ją aktualizować cały czas albo skorzystać z glob.