PHP安全之register_globals的on和off的区别

<form action='' method='get'>
<input type='text' name='username' value='alex' >
<input type='submit' name='sub' value='sub'>
</form>
<"color: #ff0000">二、为什么推荐register_globals=Off？

1.PHP4.2.0版开始配置文件中register_globals的默认值从on改为off了，虽然你可以设置它为On，但是当你无法控制服务器的时候，你的代码的兼容性就成为一个大问题，所以，你最好从现在就开始用Off的风格开始编程。
2.当register_globals打开以后，各种变量都被注入代码，例如来自HTML表单的请求变量。再加上PHP在使用变量之前是无需进行初始化的，这就使得更容易写出不安全的代码。当打开时，人们使用变量时确实不知道变量是哪里来的，只能想当然。但是register_globals的关闭改变了这种代码内部变量和客户端发送的变量混杂在一起的糟糕情况。例子来源手册


<"/highly/sensitive/data.php"; 
 
 } 
 
 "color: #ff0000">三、如果需要在一台关闭了 register_globals 的共享主机上运行一些旧式程序而该程序需要此选项打开时怎么办？

本例模拟 register_globals On。如果改变了配置文件中的 variables_order 选项，则考虑对 $superglobals 作出相应的改动。




<"color: #ff0000">四、如果需要在一些打开了register_globals选项的主机上但想消除安全隐患，该怎么办？

本例模拟 register_globals Off。要记住此代码应在脚本最开头的地方调用。如果使用了会话机制，则在 session_start() 之后调用。


<?php// Emulate register_globals off 
 
 functionun register_GLOBALS(){ 
 
 if (!ini_get('register_globals')) { 
 
 return; 
 
 } 
 
 // Might want to change this perhaps to a nicer error 
 
 if (isset($_REQUEST['GLOBALS']) || isset($_FILES['GLOBALS'])) { 
 
 die('GLOBALS overwrite attempt detected'); 
 
 } 
 
 // Variables that shouldn't be unset 
 
 $noUnset= array('GLOBALS','_GET','_POST','_COOKIE','_REQUEST','_SERVER','_ENV','_FILES'); 
 
 $input=array_merge($_GET,$_POST,$_COOKIE,$_SERVER,$_ENV,$_FILES,isset($_SESSION) &&is_array($_SESSION) ?$_SESSION: array()); 
 
 foreach ($input as $k=>$v) { 
 
 if (!in_array($k,$noUnset) && isset($GLOBALS[$k])) { 
 
 unset($GLOBALS[$k]);  
 
 } 
 
 } 
 
 } 
  
 unregister_GLOBALS(); 
 
 ?>


                                
                                

                                    PHP安全,register_globals 
                                

                                    标签：
                                        
PHP安全,register_globals