Witam!
Dopiero zaczynam swoją przygodę z php.
Napisałem baaaaaardzo prosty kod dla małej strony:

[PHP] pobierz, plaintext 
<?php
	include('dane/header.php');							// Dołącz nagłówek strony.
	include('dane/skrypt.php');							// Dołącz skrypty.
	include('dane/menu.php');							// Dołącz menu strony.
 
  	@$id=$_GET['id'];
	@$user=$_GET['info'];
	if (file_exists('dane/'.$id.'.php'))				// 1. Jeśli istnieje plik 'dane/wartosc_id.php'
		include('dane/'.$id.'.php');				//    to dołącz podstronę 'dane/wartosc_id.php'.
	else  									// 3. W przeciwnym razie
		if (file_exists('dane/info/'.$info.'.php'))	//    jeśli istnieje plik 'dane/info/wartosc_info.php'
			include('dane/info/'.$info.'.php'); 	//    to dołącz podstronę 'dane/info/wartosc_info.php'.
		else  								// 4. W przeciwnym razie
			include_once('dane/glowna.php'); 	//    dołącz stronę główną.
 
	include('dane/footer.php'); 					// Dołącz stopkę strony.
?>
[PHP] pobierz, plaintext 

Czy nie pozwoli on na jakąkolwiek formę ataku na stronę?
Niby to pytanie może wydawać się głupie ale chcę mieć pewność.

PS. Żaden z plików (header.php, menu.php itd) oprócz index.php, czyli to co dałem powyżej nie zawiera jeszczcze php, ale dałem takie rozszerzenie, żeby nie mieć dodatkowej roboty by ewentualnie w przyszłości go tam dodać.

Aha, zamiast @$user=$_GET powinno być @$info=$_GET bo przypadkiem skopiowałem kod ze starej wersji, gdzie akurat zmieniałem user na info i przypadkiem zapomniałem tam zmienić user na info.

[PHP] pobierz, plaintext 
    <?php
    include('dane/header.php'); // Dołącz nagłówek strony.
    include('dane/skrypt.php'); // Dołącz skrypty.
    include('dane/menu.php'); // Dołącz menu strony.
 
    @$id=$_GET['id'];
    @$info=$_GET['info'];
    if (file_exists('dane/'.$id.'.php')) // 1. Jeśli istnieje plik 'dane/wartosc_id.php'
    include('dane/'.$id.'.php'); // to dołącz podstronę 'dane/wartosc_id.php'.
    else // 3. W przeciwnym razie
    if (file_exists('dane/info/'.$info.'.php')) // jeśli istnieje plik 'dane/info/wartosc_info.php'
    include('dane/info/'.$info.'.php'); // to dołącz podstronę 'dane/info/wartosc_info.php'.
    else // 4. W przeciwnym razie
    include_once('dane/glowna.php'); // dołącz stronę główną.
 
    include('dane/footer.php'); // Dołącz stopkę strony.
    ?>
[PHP] pobierz, plaintext 

Po co Ci te małpy tam?

Co do sprawdzania bałbym się w ten sposób, najpierw użyłbym basename

Tak jak mój przedmówca pisze, file_exists niczego nie załatwia. Sprawdza czy dany plik istnieje, co nawet potencjalnemu włamywaczowi przy ataku DT (directory transversal) nawet ułatwia sprawę, bo sam sprawdzasz za niego czy plik istnieje. basename o którym napisał @Fifi209 powinno załatwić kwestię bezpieczeństwa. Innym błędem (nie tyle co bezpieczeństwa) jest stawianie tych małp przed $GET. Kolejna sprawa to klamry. Przy rozbudowanych warunkach używaj klamer, co by sobie oszczędzić późniejszych nerwów. To samo tyczy się wcięć w kodzie, wtedy będzie to czytelniejsze. Na sam koniec, uczulam cię przed używaniem jakich kolwiek znaków przed znacznikiem otwierającym php, później będziesz mieć problemy z wysłaniem nagłówków.

A twój kod mógłby wyglądać tak:

[PHP] pobierz, plaintext 
<?php
 
$id = empty($_GET['id']) ? null : basename($_GET['id'].'.php');
$info = empty($_GET['info']) ? null : basename($_GET['info'].'.php');
$path = 'dane/';
 
 
include $path.'header.php'; // Dołącz nagłówek strony.
include $path.'skrypt.php'; // Dołącz skrypty.
include $path.'menu.php'; // Dołącz menu strony.
 
 
if(file_exists($path.$id)) // 1. Jeśli istnieje plik 'dane/wartosc_id.php
{
   include $path.$id; // to dołącz podstronę 'dane/wartosc_id.php'.
} else // 3. W przeciwnym razie
{
    if(file_exists($path.$info)) // jeśli istnieje plik 'dane/info/wartosc_info.php'
    {
        include $path.$info; // to dołącz podstronę 'dane/info/wartosc_info.php'.
    } else // 4. W przeciwnym razie
    {
        include_once $path.'glowna.php' ; // dołącz stronę główną.
    }
}
 
include $path.'footer.php'; // Dołącz stopkę strony.
[PHP] pobierz, plaintext 

A jak wygląda sprawa prostego zabezpieczenia jeśli poprzez include wczytuję tylko menu. Strona jest mała, tylko 5podstron.
Znalazłem coś takiego <?php include('menu.htm'.$_GET['katalog']); ?>
Czy trzeba wpisać coś zamiast "katalog"? Chodzi mi o to żeby ograniczyć wczytanie czegoś z poza mojej strony.