Sicurezza sull'inclusione file dipendente da GET

[filippo.toso]

Una versione più compatta, e per certi versi più sicura:

<?php 
$action = isset($_GET['action']) ? $_GET['action'] : 'Dashboard'; 
$path = dirname(__FILE__) . "/Actions/$action.action.php";
if ((dirname($path) != dirname(__FILE__) . "/Actions") || !is_readable($path)) {
  die('Error');
}
?>

Ancor meglio:

<?php 
$valid_actions = array('Dashboard', 'Forum', 'Login', 'Store');
$default_action = 'Dashboard';

$action = isset($_GET['action']) && in_array($_GET['action'], $valid_actions) ? $_GET['action'] : $default_action; 
$path = dirname(__FILE__) . "/Actions/$action.action.php";
if (!is_readable($path)) {
  die('Error');
}
?>