Напишите безопасные сценарии с PHP 4.2!

Как PHP 4.2 меняет вещи?

Начиная с PHP 4.2, в новой установке PHP опция register_globals отключена по умолчанию, поэтому значения EGPCS (EGPCS — это сокращение для Environment, Get, Post, Cookies, Server — полный диапазон источников внешних переменных в PHP) не создаются как глобальные переменные. Да, эту опцию все еще можно включить вручную, но команда PHP предпочла бы ее, если вы этого не сделаете. Чтобы соответствовать их пожеланиям, вам нужно использовать альтернативный метод, чтобы получить эти значения.

Начиная с PHP 4.1, значения EGPCS теперь доступны в виде набора специальных массивов:

• $_ENV — содержит системные переменные среды
• $_GET — содержит переменные в строке запроса, в том числе из форм GET
• $_POST — содержит переменные, отправленные из форм POST
• $_COOKIE — содержит все переменные cookie
• $_SERVER — содержит переменные сервера, такие как HTTP_USER_AGENT
• $_REQUEST — Содержит все в $_GET , $_POST и $_COOKIE
• $_SESSION — содержит все зарегистрированные переменные сеанса

До PHP 4.1 разработчики, которые работали с register_globals отключали (это также считалось хорошим способом немного повысить производительность PHP), чтобы получить доступ к этим значениям, используя громоздкие массивы, такие как $HTTP_GET_VARS . Эти новые имена переменных не только короче, но и имеют некоторые новые приятные функции.

Во-первых, давайте перепишем сломанный скрипт из предыдущего раздела для использования в PHP 4.2 (т.е. с отключенным register_globals ):

 <?php  $username = $_REQUEST['username'];  $password = $_REQUEST['password'];  $PHP_SELF = $_SERVER['PHP_SELF'];   // Check the username and password  if ($username == 'kevin' and $password == 'secret')    $authorized = true;  ?>  <?php if (!$authorized): ?>  <!-- Unauthorized users are prompted for their credentials -->  <p>Please enter your username and password:</p>  <form action="<?=$PHP_SELF?>" method="POST">    <p>Username: <input type="text" name="username" /><br />       Password: <input type="password" name="password" /><br />       <input type="submit" /></p>  </form>  <?php else: ?>  <!-- Super-Secret HTML content goes here -->  <?php endif; ?> 

Как видите, все, что мне нужно было сделать, это добавить три строки в начало скрипта:

   $username = $_REQUEST['username'];  $password = $_REQUEST['password'];  $PHP_SELF = $_SERVER'['PHP_SELF']; 

Поскольку мы ожидаем, что имя пользователя и пароль будут отправлены пользователем, мы извлекаем эти значения из массива $_REQUEST . Использование этого массива позволяет пользователям передавать значения любым доступным им способом: через строку запроса URL (например, чтобы позволить пользователям создать закладку, которая автоматически вводит для них свои учетные данные), путем отправки формы или в виде файла cookie. Если вы предпочитаете ограничивать методы, с помощью которых они могут отправлять свои учетные данные, только для отправки формы (или, точнее, HTTP POST-запросов, которые можно смоделировать без отправки формы, если push доходит до пуша), вы можете использовать массив $_POST вместо:

   $username = $_POST['username'];  $password = $_POST['password'];  $PHP_SELF = $_SERVER['PHP_SELF']; 

Мы также PHP_SELF обычно используемую переменную PHP_SELF из массива серверных переменных; как и переменные формы, он не создается автоматически с отключенным register_globals . Поскольку он используется только один раз в сценарии, вы, вероятно, предпочтете просто ссылаться на него прямо в коде формы:

   <form action="<?=$_SERVER['PHP_SELF']?>" method="POST"> 

За исключением «разрешения» этих трех переменных, скрипт не изменился вообще. Отключение register_globals просто заставляет разработчика быть осведомленным о данных, поступающих из внешних (ненадежных) источников.

 <?php /* protectme.php */   function authorize_user($authuser, $authpass)  {    $username = $_POST['username'];    $password = $_POST['password'];     // Check the username and password    if ($username != $authuser or $password != $authpass):      ?>      <!-- Unauthorized users are prompted for their credentials -->      <p>Please enter your username and password:</p>      <form action="<?=$_SERVER['PHP_SELF']?>" method="POST">        <p>Username: <input type="text" name="username" /><br />           Password: <input type="password" name="password" /><br />           <input type="submit" /></p>      </form>      <?php      exit();    endif;  }  ?> 

 <?php  require('protectme.php');  authorize_user('kevin','secret');  ?>  <!-- Super-Secret HTML content goes here --> 

   function authorize_user($authuser, $authpass)  {    global $username, $password;     ... 

   function authorize_user($authuser, $authpass)  {    global $HTTP_POST_VARS;     $username = $HTTP_POST_VARS['username'];    $password = $HTTP_POST_VARS['password']; 

   function authorize_user($authuser, $authpass)  {    $username = $_POST['username'];    $password = $_POST['password']; 

 <?php  session_start();   if ($username == 'kevin' and $password == 'secret')  {    $authorized = true;    session_register('authorized');  }  ?>  <?php if (!$authorized): ?>  <!-- Display HTML Form prompting user to log in -->  <?php else: ?>  <!-- Super-secret HTML content goes here -->  <?php endif; ?> 

 <?php  session_start();   if ($_POST['username'] == 'kevin' and      $_POST['password'] == 'secret')    $_SESSION['authorized'] = true;  ?>  <?php if (!$_SESSION['authorized']): ?>  <!-- Display HTML Form prompting user to log in -->  <?php else: ?>  <!-- Super-secret HTML content goes here -->  <?php endif; ?>