Защита от RFI(Remote File Inclusion)

Пример: Имате код подобен на следния:

$page = $_GET['page'];
include($page.".php");


Подавате стойност http://pat.do/shell и става лошо
Начин за защита:
1. basename($_GET['page']) - връща само името на файла (shell)
2. Създавате си масив с позволените за include файлове:

$array = array("news", "users", "login", "register", "logout");
if(in_array($_GET['page'], $array)) {
//Include }



Преопоръка: Не използвайте само file_exists, при някой хостове връща TRUE дори да е подаден URL адрес

Източник: Web-Tourist.Net