[Chestarfild]

Пару советов:

• Лучше используйте библиотеку DbSimple вместо стандартных функций php. В ней кое-какая защита от инъекций (если конечно правильно применять плейсхолдеры)
• Старайтесь как можно меньше данных принимать извне, и старайтесь принимать только числовые значения. Их удобно проверять функцией is_numeric()
• Для работы с инклудами файлов удобнее использовать что-то такое:
  

  switch(@$_GET['do'])
  {
          case "index": include_once("index"); break;
          case "page":  include_once("page"); break;
          default:        include_once("index"); break;
  }

  Такой код более менее стойкий к php инъекциям.