strlen'e gerek yok. Harf tek karakterden oluştuğu için 1 karakter olarak tanımlarız.

substr($_GET['harf'],0,1);

harf.php?harf=ali
Desek bile 'a' yı alacaktır. htmlspecialchars ile de temizlenirse tamamdır sanırım, zaten tek karakter gelebiliyor