网普技术论坛 - 技术支持区 - 关于register_globals设置的问题[ZT] - 网普科技, 美国主机服务, cPanel, PHP, Mysql支持!


		» 游客: 网普主页 \| 注册 \| 登录 \| 帮助

网普技术论坛 » 技术支持区 » 关于register_globals设置的问题[ZT]

网普科技
网普管理员

网普科技人民公仆

积分 3080
发贴 2863
注册 2004-6-26
来自网普科技
状态离线

#1 关于register_globals设置的问题[ZT]

基于各种各样的理由，PHP 的设置需要依赖于 register_globals
参数打开，但是也成为安全的重要隐患，请看下面的一段代码：

<?php
if (authenticate_user()) {
$authenticated = true;
}
...
?>

远程用户可以简单的传递 'authenticated' 作为表单变量，即使
authenticate_user() 函数返回 false，$authenticated 还是会设置成 true。这是一个简单的例子，你或许会说，我的程序不会这样来写。
而实际上，在稍微复杂一些的应用里面，这个机制就会成为重大的漏洞。

因此，新版本的 PHP ，我们建议用户不要采用这个变量来控制应用，虽然我们没有打算要在不久的将来删除。

为了帮助用户建立 register_globals 设置为 off 的应用，增加了一些变量来代替旧的，下面是7 个新的数组：

$_GET - 包含了通过 GET 发送的表单变量
$_POST - 包含了通过 POST 发送的表单变量
$_COOKIE - 包含了 HTTP cookie 变量
$_SERVER - 包含服务器端变量 (例如：REMOTE_ADDR)
$_ENV - 包含环境变量
$_REQUEST - GET 变量，POST 变量和 Cookie 变量的混合，通过用户而来而不能信任的变量。
$_SESSION - 包含通过会话模块注册的 HTTP 变量

这些变量，在任何范围内，都自动设置为全局变量，可以在任何地方调用，而不需要加 global 关键字。
例如：

function example1()
{
print $_GET["name"]; // 没有必要写成：'global $_GET;'
}

另外一个值得一提的小窍门是在 $_SESSION 数组中增加一个记录能自动作为会话变量注册，就像你调用了
session_register() 函数。

天理路上甚宽，稍游心，胸中便觉广大宏朗；
人欲路上甚窄，才寄迹，眼前俱是荆棘泥涂。

网普科技，优质美国主机服务！
美国Linux主机，美国虚拟主机
支持PHP+MYSQL+cPanel+EMAIL
为用户负责，拒绝反动、赌博及色情内容！ QQ：126818

发送QQ消息

2005-12-16 02:38 PM

网普科技
网普管理员

网普科技人民公仆

积分 3080
发贴 2863
注册 2004-6-26
来自网普科技
状态离线

#2

网普添加如下内容：

举例说
大多数用到register_globals的，是通过url来传递变量的值

例如：
http://www.netpu.com/test.php?myvar=123

对于register_globals为on时，代码可以是这样的

<?
global $myvar;
echo $myvar;
?>

对于register_globals为off时, 只需要更改成

<?
echo $_GET["myvar"];
?>
就可以了.

第二种方式不依赖于register_globals的值，所以通用性以及可移植性更好。

目前市场上大多数商用或者免费程序，稍微成熟些的，都避免依赖register_globals。
所以对于大多数程序，比如PHPBB，DISCUZ等等都不受影响的。

如果一个程序依赖register_globals，说明编码上还不够成熟，不建议使用。

对于用户自己开发的程序，页面，只需做上述修改，即可实现通过url传递信息。

发送QQ消息

2005-12-16 02:50 PM

网普科技
网普管理员

网普科技人民公仆

积分 3080
发贴 2863
注册 2004-6-26
来自网普科技
状态离线

#3

补充说明：

PHP 设置项 register_globals 同样会对服务器端和环境变量产生影响。当 register_globals = off （从 PHP 4.2.0 开始其默认值为 off），变量 $DOCUMENT_ROOT 将不会存在，而只有 $_SERVER['DOCUMENT_ROOT']。如果 register_globals = on 则变量 $DOCUMENT_ROOT 和 $GLOBALS['DOCUMENT_ROOT'] 将同时存在。

建议在 register_globals = off 的情况下进行编码。

例子：
<?php
echo $_SERVER['DOCUMENT_ROOT'];
?>

发送QQ消息

2005-12-18 02:23 PM

ajivanet
Netpu VIP

积分 45
发贴 45
注册 2004-10-9
状态离线

CODE: [Copy to clipboard]
if ( !ini_get('register_globals') )
{
extract($_POST);
extract($_GET);
extract($_SERVER);
extract($_FILES);
extract($_ENV);
extract($_COOKIE);

if ( isset($_SESSION) )
{
extract($_SESSION);
}
}

2005-12-27 06:25 PM

ajivanet
Netpu VIP

积分 45
发贴 45
注册 2004-10-9
状态离线

#5

在每个PHP前面加上就OK了

2005-12-27 06:26 PM

ajivanet
Netpu VIP

积分 45
发贴 45
注册 2004-10-9
状态离线

#6

不过仍然不安全

2005-12-27 06:26 PM

网普科技
网普管理员

网普科技人民公仆

积分 3080
发贴 2863
注册 2004-6-26
来自网普科技
状态离线

#7

用到什么取什么
这样最安全：）

发送QQ消息

2005-12-27 08:37 PM

茱莉娅
THE BODY SHOP美容顾问

茱莉娅美体小铺

积分 3080
发贴 2863
注册 2009-5-21
来自茱莉娅美体小铺
状态离线

#7 赞助商信息The body shop

茱莉娅美体小铺
茱莉娅美体小铺淘宝店
茱莉娅美体小铺

茱莉娅美体小铺淘宝店

2005-12-27 08:37 PM

可打印版本 | 推荐给朋友 | 订阅主题 | 收藏主题

论坛跳转:

Powered by Discuz! 2.5 © 2001-2005 Comsenz Technology Ltd.
Processed in 0.009326 second(s), 7 queries, Gzip enabled
------------------------------------------------------------------------------
本论坛属网普科技交流与技术支持论坛!
拒绝任何人以任何形式在本论坛发表与中华人民共和国法律相抵触的言论!
美国主机, 美国虚拟主机, cPanel+PHP+Mysql+Ftp+Email+Zend+GD2+国际域名支持
技术支持 QQ: 126818 EMail & MSN: support[AT]netpu.net

	[ 联系我们 ] - [ 网普科技 ]