PHP Include mit Variable

[Mwieners]

Moin,

Ich möchte folgendes tun

Ich habe ein include auf meiner seite

PHP-Code:

include ($inc.".php"); 


So standart mäsig ist die variable $inc = mitte

So nun möchte ich aber das man über die url index.php?inc=news bestimmen kann was dort includiert wird also hier die news.php, wie geht das??

Es soll vorher NICHT bestimmt werden was includiert werden soll. Also ein user könnte auch hgjk eingebn und automatisch wird die hgjk.php includiert

DANKE IM VORRAUS

mfg Mwieners

[ascer]

Hi,

ganz einfach:

PHP-Code:

$path = $_GET['inc'].".php";
include($path); 


gruß,
Ascer

[Mwieners]

danke, hat mir seeehr weitergeholfen,

mfg Mwieners

[Gweilo]

aber achtung! bei solchen sachen muss man aufpassen, ein user kann dann irgendetwas als parameter eingeben, zB auch "inc=../../etwas" und sachen aufdecken die nicht aufgedeckt werden sollten.

generell wuerde ich von methoden abstand nehmen, wenn es nur irgendwie geht. Und wenn's wirklich sein muss ueberpruefen ob wirklich nur files includiert werden koennen die ok sind (stichwort regex).

[ascer]

klar muss man aufpassen, aber ich denke mal das weiß er da er ja explizit gesagt das er das genau SO will, er hat ja auch geschrieben selbst wenn ein User "hdfsad" eingibt als Parameter soll das Skript "hdfsad.php" aufgerufen werden...

Von daher wird er das sicher wissen, abgesehen davon kann man ja sagen das er Skripts nur aus einem bestimmten Ordner auf dem Webserver holen soll und mit ".php" was man selber hintergefügt hat kann der User ja nichts anderes als ein PHP-Skript aufrufen und das auch nur in dem Ordner in dem man das will, insofern kann da dann nicht allzu viel passieren...

Es sei denn natürlich dieses Skript kriegt noch mehr Variablen übergeben und der User kriegt da was Spitz und schleust da was ein...aber solange nur das Skript aufgerufen wird und nichts anderes und halt immer .php und auch nur in dem bestimmten Ordner den man dafür vorsieht kann da eigentlich nix passieren...


gruß,
Ascer

[Domi]

@ascer: es könnte durch Leichtsinn auch möglich sein das Configfile für den MySQL Zugang zu posten oder andere Files trotz htaccess.

Die einfachste Möglichkeit wäre alle Werte die "OK" sind in einem Array aufzulisten und dann mit in_array() abfragen, ob der Wert erlaubt ist oder nicht. So könnte man auch ganz simpel seiten ausschließen. Natürlich sollte man auch per regex dafür sorgen, dass nur Buchstaben drin sind.

Domi