php get不安全性,php – 使用原始$_GET获取文件是不安全的？

作为网站管理员,我需要识别风险脚本.

我总是编写用于过滤用户输入的PHP代码.我永远不会相信用户输入,选择哪些字符有效(与不厌其一些),使用php本机过滤功能(filter_input)或使用lib / frameworks实用程序.

今天,我在下载模块中搜索安全漏洞,发现此代码：

if (isset($_GET['css_file_name'])) {

$cssFileName = _PS_MODULE_DIR_ . DS . "xxxx" . DS . "css" . DS . $_GET['css_file_name'] . ".css";

echo file_get_contents($cssFileName);

}

echo "";

我认为这是不安全的,它不尊重基本规则永远不要相信用户输入.

所以我决定证明它,我试图添加DEL ascii字符来删除.css并能够找到任何文件(例如带有凭据的php文件)但我没有成功.

所以我的问题是：这段代码真的很不安全吗？有可能用它来获取一个php文件(你可以演示它吗？)