ist include unsicher?

[Jasmin]

Hallo Manuel,

Würde es denn nicht ausreichen, einen fixen Pfad vorzugeben, in der die Datei liegen muss?

include('/pfad/zum/script/' . $_GET['file'] . '.php');
Nein. Was ist wenn $_GET['file'] ../../foo ist?

Nachtrag: Dieser Trick funktioniert nicht, wenn man einen Ordner als Alias in Apache angibt, also als eine Art "Pseudoordner". Eine andere Möglichkeit wäre ein Subdomain, z.B. http://include.example.com/.

Grüße
Jasmin