本地文件包含str_replace安全

Question

我正在尝试编写本地文件包含安全的php文件。我在DVWA中发现了这样的易碎解决方案：

$file = str_replace( array( "..\\" ), "", $file );

比我前进了一步，并写了这篇文章：

 $secure  = $_GET[ 'page' ];
 $secure = str_replace( array( ".", "\\" ), "", $secure );

 if (isset($secure)) 
 {        
   include($secure.'.php');         
 }

我无法破坏这种安全性。我也从未见过它在任何地方使用过。为什么没人将这种替换技巧用于单点和单反斜杠？