Saludos

Filtrar los datos que recibimos, siempre y asegurarnos de que sólo sean los que queremos.
En este caso un querríamos una cadena, deberíamos limpiarla para evitar XSS, archivos remotos, etc.

En mi caso, cuando tengo que usar algo de ese tipo (imágenes en un directorio p.ej), suelo usar una función o método que me monta un array con los archivos, digamos, públicos (que permitimos) en ese directorio. Opcionalmente se le puede añadir recusrsividad y niveles de directorios, pero siempre con nuestra normas: patrones de archivos válidos, directorios donde buscar…

Luego solo sería tan fácil como ver si el archivo solicitado: $que_profesor está en el array de nuestros valores admitidos, y si no, usar uno por defecto. …O más bien al contrario (buenas prácticas): establecer ante todo uno por defecto, y luego procesar si mostramos el del usuario o no.

Las funciones glob (cuidado con esta), scandir y, en especial, la librería SPL (DirectoryIterator…), son cojonudas y muy divertidas para esto ;)

—
Como decía, sólo quería indicar la importancia de, por pequeño que sea nuestro desarrollo o porción de código, implementar, SIEMPRE, la seguridad y filtrado de datos de usuario.

Un saludo; como siempre, un placer pasarse por Yukei.

Saludos

wihe