$_GET["fileName"]
を正規表現でチェックしろってことだろ？
".."を含んでる場合はあぶないよな？
あと、ブラックよりホワイトチェックのがよい