Siempre se debe validar que el contenido de las variables (tanto en $_GET como en $_POST), para solo utilizarlas cuando corresponda.
Por ejemplo, no permitir caracteres “/”, “\” o “..”, a la vez de verificar si el archivo existe, o cosas así.

En efecto, por eso puse como ejemplo, un switch que elija sólo números, ya que así, en cualquier caso aparte, simplemente no se hace nada. Los caracteres “/”, “\” o “..” generalmente afectan durante la inclusión de un $_GET como bien mencionaste antes.

Gracias por el comentario!, nunca está de mas hacer esas acotaciones, se me pasó esta vez por tratar de acortar un poco el tutorial, trataré de solucionarlo para los siguientes tutoriales, saludos!

Hacer como:

include($_GET["pg"]);

Son una muy mala idea, ya que permitimos que se realicen inclusiones de archivos no deseados.

Siempre se debe validar que el contenido de las variables (tanto en $_GET como en $_POST), para solo utilizarlas cuando corresponda.
Por ejemplo, no permitir caracteres “/”, “\” o “..”, a la vez de verificar si el archivo existe, o cosas así.

Evitemos “hackeos” por malos sistemas mal programados, y así nuestro prestigio nunca se verá afectado!

Saludos!