ciao,
a mio parere per controllare il contenuto di $_GET basta un semplice switch che rende sicura l'applicazione:
Codice PHP:
if (isset($_GET['pagina']))
{
switch($_GET['pagina'])
{
case 'home':include('home.htm');
break;
case 'foto':include('foto.htm');
break;
default:include('home.htm');
}
}
else
{
include('home.htm');
}