ens url lige meget på siden

Hørt om frames? Hvis ikke så lunk her og spørg i HTML.

Således? http://www.chapter.dk/exp/736882.php

Jeg ville undgå frames. -- Du kan godt lave det med sessions :)

<?
session_start();

if($_GET['id'])
{
    $_SESSION['id'] = $_GET['id'];
    header("location: 736882.php");  //  Her skifter du blot til den "rigtige" url
}

print 'HENT SIDE id'.$_SESSION['id'].'.php IND! ("require_once(\'id'.$_SESSION['id'].'.php\')")'."<br />\n";  //  Her henter du blot den side ind som du henviser til

print '<a href="?id=1">Side 1</a>'."<br />\n";
print '<a href="?id=2">Side 2</a>'."<br />\n";
print '<a href="?id=3">Side 3</a>'."<br />\n";

?>

http://www.chapter.dk/exp/736882.php?id=../../index

Man skal ALDRIG bruge POST/GET direkte...

Jeg er ikke helt med -- ja, man skal altid lave et tjek af ens input. Men hvad har det med mit eksempel at gøre?

Prøv at aktivere den require_once...

Så har jeg rettet i mit eksempel for iss skyld -- og syns skyld, nu når han/hun har lavet et såkaldt "forkert link" ;)

iss >> Så har jeg sat en include_once() ind -- for ikke at stoppe, som require_once() gør, men grundfunktionen er det samme. Hvad er problemet; blot at filen "id../../index.php" ikke findes?

discotk >> Kan du forstå ideen med eksemplet, eller er det noget helt andet du søger?

Du er vist ikke til at nå... det var nu at den kunne læse ALT PHP har adgang til også selv vi snakker filer der ligger i f.eks. biblioteker med .htaccess filer som måske var sat til deny normalt....

Så hvis jeg skal skære det TOTAL ud i pap! Man skal ALTID sørge for at en POST/GET variabel ikke indeholder noget der er skadligt inden man bruger den, dvs for include/require ville tegen som ~ / være 110% forbudt og . 99.9%, så det bedste ville være at sige a-z, 0-9, - og _ være godkendte resten slettes:
$_SESSION['id'] = preg_replace("/[^a-z0-9-_]/i", "", $_GET['id']);

Jeg er stadig enig med dig i, at man skal lave et tjek af ens input (som jeg også skriver i (05/10-2006 23:26:18), men jeg kan satdig ikke se, hvad det har med MIT eksempel at gøre? Pointen med mit eksempel er blot, at man via sessions kan styre indhold uden at skulle benytte satte variabler i/fra adresselinjen.

Kan ikke give nogen points fordi ingen har sendt et svar kun kommentar

Jeg giver gerne et svar, hvis det kan bruges :)