Как отключить глобальную переменную?

Question

<?php 
echo "test"; 
    echo $city; 
    ?> 

Это позволяет отгонять город от URL-адреса, даже если на странице нет кода . Я предполагаю, что это глобальная переменная ...

<?php 
     unset($GLOBALS[_SERVER]); 
     echo $city; 
     ?> 

Я начал и разрушила сеанс, чтобы убедиться, это не в сессии. Если я изменю переменную, она не выйдет из строя. Если я изменю url? City = Boston to? City = Chicago, то он обновляется.

$ city = $ _GET ["city"]; не существует на странице ... остальная часть страницы пуста.

Answer 1

Скорее всего, причина для $city уже имеет значение register_globals установка есть ON. Что означает, что каждый GET, POST и некоторые другие переменные регистрируются как глобальные переменные в вашем скрипте. Например, если вы откроете свой скрипт как script.php?city=New+York, у вас будет переменная $city, определенная в вашем коде со значением «Нью-Йорк».

Если вы не хотите этого поведения, вам необходимо отключить register_globals в вашем php.ini.

Подробнее о register_globals здесь http://php.net/manual/en/security.globals.php

Answer 2

Поведение, которое вы описываете звуки как опции конфигурации PHP register_globals включена. Эта опция приводит к тому, что все переменные GET и POST (а также файлы cookie) должны быть созданы как глобальные переменные во время запуска сценария. Это огромная проблема с безопасностью и, как таковая, по умолчанию не работает с PHP 4.2.0 (выпущена в апреле 2002 года) и не может быть включена вообще в PHP 5.4 и более поздних версиях (выпущен в марте 2012 года). Тот факт, что он включен для вашей системы, вызывает беспокойство, поскольку это указывает на то, что вы используете PHP 5.3 или ранее, который больше не получает исправления безопасности!

Чтобы отключить его, обновите PHP до поддерживаемой версии.

Если это невозможно, отредактируйте файл конфигурации PHP, найдите строку, в которой установлено register_globals = On (или = 1), и удалите его. Этот вариант не был рекомендован более десяти лет; он не должен быть включен.

(Там нет безопасного способа отключить register_globals во время выполнения. Отключение его с помощью ini_set() не работает, так как он вступает в силу до начала сценария, и нет никакого способа, чтобы безопасно удалить все переменные, которые она создает, как и иногда эти переменные могут перезаписывать глобальные системы. Единственный безопасный подход - полностью отключить его.)