Ik zou gewoon wachten op een reactie van Niels

waarom die get p beveiligen? de id's zou je wel kunnen beveiligen.

ik gebruik dit scriptje vaak maar ik weet enkel niet of je er wat aan hebt want deze roept pagina's op en dat doet die van jou niet die roept stukjes op uit je script miss kun je er wat mee?

<?php
if(isset($_GET['x']) && file_exists(''.$_GET['x'].'.php')){ 
include"".$_GET['x'].".php";
}
else if (!@ $_GET['x']) {
include"home.php";
}
else {
include"404.php";
}
?>

[offtopic] lhmedia, die is niet veilig(c)[/offtopic]

$_GET  = array_map('addslashes', $_GET);

Zet dat zo hoog mogelijk en dan word elke $_GET automatisch door addslashes gehaald.

geef de code binnen de foreach() eens...

Foei!
niet aan denken!
dat is de magic_quotes optie imiteren...
en die optie is kwaadaardig!

Als je nou gewoon de juiste beveiliging gebruikt voor de juiste actie...
Dat is de beste aanpak die ik ken.
Dus geef de code die binnen de foreach() staat.

regel 19 moet trouwens het volgende worden:

$_POST['id']                        = array($_GET['id']);