URI als sicherer Parameter

[dey]

Hallo,

Ist der Datei-Name in der URI als Parameter sicher zu verwenden?
unter gewissen Voraussetzungen...
Beispielsweise solltest als Parameter nur das Dateiprefix angeben, z.B. "home", das machts nicht so offensichtlich. Ausserdem solltest überprüfen dass übergebene Dateinamen nur aus Buchstaben, Ziffern und "_" bestehen dürfen.
Dann kannst du gefahrlos die Datei wie "includes/".$parameter.".php" includen.

Ich glaube ich habe mich missverständlich ausgedrückt:

• ich will im Namen meiner Datei einen Parameter einbinden
• z.B. a21.tolle maschine.e.html
• diesen Namen will aus der Adresse(URI?) lesen un wieder zerlegen
• a = Produkt-Typ
• 21 = laufende Nummer
• tolle maschine + anderes = Linkname
• e.html = Englisch

Wie bekomme ich den Datei-Namen?
Mit dem, was ich bisher in Manuals gefunden habe, HTTP_HOST bekomme ich nur meinen Rechner-Namen.
$_GET['parametername'] ist hier das richtige.

Glaube ich nicht, da ich nicht mit ?type=1 arbeiten.
Es soll der Dateiname und nicht der Link Dateiname+Parameter sein.

bydey