ciao,

a mio parere per controllare il contenuto di $_GET basta un semplice switch che rende sicura l'applicazione:

Codice PHP:
if (isset($_GET['pagina'])) 
  { 
      switch(
$_GET['pagina']) 
      { 
          case 
'home':include('home.htm'); 
          break; 
  
          case 
'foto':include('foto.htm'); 
          break; 
  
          default:include(
'home.htm'); 
      } 
  } 
  else 
  { 
      include(
'home.htm'); 
  }