אהלן חברים,
עד היום התרגלתי לתכנת כאשר התכונה הנפלאה שמקצרת לי את תהליך כתיבת המשתנה, register_globals מופעלת. קראתי בדוקמנטציה של php שדבר זה לא בטיחותי.
(אולי בגלל התנגשות שלו עם ערכים ב-GET?)
מה כל-כך לא בטיחותי בתכונה הזאת, עד כמה זה מסוכן, והאם זה באמת משמעותי שימנע ממני להפסיק להשתמש בה?

הבעיה הכי בסיסית היא שככה כל אחד יכול לאתחל לך משתנים באמצעות GET. זה יכול ליצור כמה פגמים רציניים בבטיחות סקריפט.

סיכון האבטחה הוא המתכנת הלא זהיר. ככלל, אם אתה מקפיד לאתחל כל משתנה לפני שאתה משתמש בו לערך רצוי וידוע, ל register_globals אין שום השפעה עלייך. הבעייה שרוב המתכנתים שוכחים לעשות את זה... והתוצאה... אפשרות לחבל במשתנים פנימיים של הסקריפט שלך, שאתה מניח מראש שהם מכילים את הערכים שלך, למרות שבפועל הם לא, מה שמאפשר לכל גולש להתעסק עם התוכנה שלך לא כפי שציפית.

בכך ש register_globals הוא off, משתנים מהגולשים ייכנסו למשתנים בתוכנה אך ורק על ידי הצהרה מפורשת של המתכנת. כמובן, שזה לא פוטר את המתכנת מבדיקה שערך הקלט הוא אכן ערך מצופה, ושלא מנסים לחבל בו, אבל זה כן פוטר אותו מלבדוק את כל המשתנים בתוכנה, כיוון שהגולש אינו יכול להשפיע עליהם, אלא רק על אלו שהועברו באמצעות המערכם הגלובאליים GET, POST ו-REQUEST [תוסיף _$ לפני כולם, זה פשוט מתחרבש אם אני כותב כך] (בשונה ממה שכתב זה שמעלי, כאילו רק דרך GET אפשר...)

נמאס לכם לזכור סיסמאות? לחצו כאן!

למה בדיוק אתה מתכוון במקרה הזה?
נאמר שאני מקבל דרך POST את המשתנה username, אז אני חייב לציין:

קוד PHP:

 $username = $_POST['username']; 


במקום לרשום פשוט $username ?

יש מספר מערכים שמכילים את כל המשתנים, אין משתנים שאתה כיול לגשת אליהם סתם כך ע"י ציון שמם, חוץ מהמשתנים ששמורים במערך הגלובאלי.

כשאתה יוצר במהלך התוכנית משתנה, זה נשמר בתוך מערך בשם GLOBALS, כשנשלחים לשרת משתנים באמצעות POST, או GET, כל המשתנים נשמרים במערך POST/GET בהתאמה, כך שהגישה למשתנה היא באמצעות השם שלו בתוך המערך שמכיל אותו.

אם תכתוב:

קוד PHP:

 $username 


זה יפנה אותך למשתנה שהוקצה במהלך ריצת התוכנית, או רק אז יצור את זה אם לא הוגדר עדיין, אבל ממש אין לזה קשר למשתנה שנשלח ב-POST.

כדי להגיע למשתנה שנשלח ב-POST, אתה צריך לכתוב

קוד PHP:

 $_POST['username'] 


ש-register_globals בעצם מיותר מאוד, כי הוא לא חוסך לי כלום: אני חייב להשוות את ה-POST למשתנה כדי שזה יהיה בטיחותי :\