bence o kullanım doğru, url'den eğer /ahmet geliyorsa $1 ahmet olacaktır. başka bir yerde hata yapıyor olabilirsiniz. Bu arda .* olarak çağırmakla risk aldığınızı belirtmek isterim. regexp'yi kullanacağınız karakterlerle sınırlamananız güvenliğiniz açısından daha yararlı olacaktır.
güvenlik olayı şuan için çok öenmli değil ama yukarıda dediğim gibi yanlış değer veriyor değişken acaba birşey mi eksik orda.