[php] sicurezza con $_GET

salve,
usando il metodo GET quali pericoli si possono correre?
come fare per evitare questi pericoli ?
io uso questa cosa ( forse non efficace )

$pagina=$_GET['pagina'];
$possibili_pagine= array('pagina','pagina1','pagina2');
if(in_array($pagina,$possibili_pagine)){
$ok=true;}else{$ok=false;}
if($ok){echo"pagina esistente";}else{echo"pagina non esistente";} 

avete consigli ?

grazie in anticipo

Come metodo il tuo è molto sicuro! Se la variabile che passi è un numero potresti anche forzare la stringa ad essere un numero..
Ad esempio:

$id = (int)$_GET['id']; 

Se non viene inserito un numero $id vale 0.

[programmazioned]

Hai gia fatto un buon lavoro, usando in_array scongiuri ogni rischio di LFI :)
Consigli? Bhè, Non ho capito perchè fare due if che ritornano sicuramente lo stesso valore: prima verifichi che $pagina sia nell'array e assegni un valore booleano a $ok, poi controlli il valore di quest'ultima variabile :S
Ha poco senso, no?
Poi per evitare di portarti dietro tutto il blocco else puoi chiamare exit() nell'if :)

$pagina=$_GET['pagina'];
$possibili_pagine= array('pagina','pagina1','pagina2');

if(!in_array($pagina,$possibili_pagine))
        exit('pagina non esistente');

// inizio codice da eseguire se $pagina è contenuto in $possibili_pagine 

EDIT - @nokiagames: e il senso quale sarebbe? Tanto verifica che $_GET['id'], indipendentemente dal tipo, sia contenuta nell'array...

Ciao!

grazie
qualche altra dritta o va bene così ?

grazie
qualche altra dritta o va bene così ?

Credo vada bene così pure io, io lo feci tempo fa, anche perchè io utilizzo alcune funzioni con cui dovrei stare attento, ma con questo metodo, di usare in_array() dovresti stare molto tranquillo

ok, speriamo bene :D

non per scoraggiarti, ma se uno vuole bucarti il sito, puoi mettere tutti i controlli che vuoi, ma se è uno in gamba lo fa (non dico deface, sarebbe un Accher ()), e ti spiegherà come evitare quel buco

beh si ovvio , però ho visto siti bucati a causa di link in get , tramite qualche shell (se non erro) e ho chiesto qui ..

Dipende anche da come è configurato il server, per esempio qui su Altervista l'include()di file esterni al sito dove si dovrebbe includere è bloccato, in poche parole puoi solo includere file locali

si avevo letto su qualche post qui
un'altra domandina , io passo delle info in get ( esempio: azione eseguita con successo) con urlencode() che poi metto nel link e lo stampo là dove serve , dovrei controllare anche quello ?

Ti basta secondo me solo usare htmlentities() sulla variabile che ricavi via get