Tillad ikke sider som ikke er på serveren.

Kan du ikke bare lave: $page = basename( $_GET['page'] );
Det kræver dog at alle sider ligger samme sted (i roden i dit tilfælde)...

Sæt noget foran og bag...

F.eks læg alle dine sider i biblioteket pages:
$page = !empty($_GET['page'])?$_GET['page']'frontpage';
if(file_exists("pages/".$page.".php")) {
    include("pages/".$page.".php");
}
else {
    include('pages/warning404.php');
}

Værre endnu er muligheden for at skrive ?page=php://input - så bliver det først sjovt :)

--
Morten Barklund

Alle filer kan ikke lægge i samme mappe. :S.. Kan man ikke tjekke for http https osv.?

Barklund hvad mener du?

cmau, hvis du laver en include("php://input") (hvilket du jo kommer til), så bliver indholdet af en eventuelt POST-forespørgsel læst ind som PHP. Og så kan jeg på ret få sekunder ødelægge hele dit site ;)

Lav det med fil-aliaser. Det er lidt besværligere, men så har du lavet en "whitelist" over godkendt filnavne. Det er meget nemmere end en "blacklist" som du selv foreslår:

switch ($page) {
case "side1":
  include("side1.php");
  break;
...
}

Ellers kan jeg jo også hurtigt lave rod ved at åbne index.php?page=index.php og den slags :)

--
Morten Barklund

Kan du bruge dette:

    $root = dirname( __FILE__ );
    $page = ( !empty( $_GET['page'] ) ? $_GET['page'] : 'index.php' );
    $page = realpath( $page );
    if ( substr( $page, 0, strlen( $root ) ) != $root )
    {
        $page = '404error.php';
    }
    include( $page );

damn, vhad såhvis alle filer lå en i bestemt mappe, kunne man så undgå dette?

Evt. som barkluund nævner:

    if ( substr( $page, 0, strlen( $root ) ) != $root && $page != __FILE__ )
    {
        $page = '404error.php';
    }

coderdk hvad skulle din kode gøre? Kan du forklare den

Selvfølgelig :)

    // Først tager vi den fulde sti til den folder hvor dette script er
    $root = dirname( __FILE__ );
    // Her sætter vi en default side, hvis ingen page er angivet
    $page = ( !empty( $_GET['page'] ) ? $_GET['page'] : 'defaultpage.php' );
    // Denne oversætter vi til en "rigtig" sti i filsystemet med realpath()
    // Findes filen ikke returnerer realpath() en tom streng
    $page = realpath( $page );
    // Her checker vi om filen starter med det samme som den fulde sti til den
    // folder hvor scriptet ligger i - med andre ord, den gør at du kun kan include
    // filer der er i samme folder eller dybere end den aktuelle folder - aldrig
    // under - altså ikke ../../osv - Desuden vil vi ikke tillade at man angiver
    // include scriptet som page
    if ( substr( $page, 0, strlen( $root ) ) != $root && $page != __FILE__ )
    {
        $page = '404error.php';
    }
    include( $page );

coderdk > Dvs at at man ikke kan lave rod i den som barklund beskriver?

Jeg kan ikke komme på nogen måde i hvert tilfælde :)

Jeg vil stadig rekommandere en whitelist frem for en blacklist. Jeg kan sikkert stadig lave rod i det tror jeg - smid lige et link til dit site, når du har lavet ovenstående ;)

siden ligger desværre kun på min lokale computer.