Ich denke, er meint, dass der Dateiname per GET-Parameter übergeben werden soll. Wobei dann natürlich entsprechende Checks her müssen, damit niemand Dateien anzeigen lassen kann, die er eigentlich nicht sehen sollte.