用get参数做文件包含，被人读了配置文件密码全漏，之后所有包含写死路径

新手写PHP，用用户传的参数做文件包含，别人构造参数，把服务器敏感文件读出来，其实文件包含别用用户传的参数，固定路径。第一，include的文件路径，别用用户传的变量，写死固定的文件；第二，必须动态包含的时候，做白名单，只允许包含指定的文件；第三，别开远程文件包含，不然别人能加载远程的恶意PHP；第四，包含的文件里别直接放用户输入的内容。

我之前写代码，用$_GET传的参数做include，别人构造参数读了我的配置文件，数据库密码全漏，吓出冷汗，之后所有文件包含全写死路径，不用用户传的参数。很多新手觉得文件包含方便，其实不做限制，就是大漏洞。