おずの魔法使い

< 新しい記事

新着記事一覧(全929件)

過去の記事 >

2006.04.05

register_globals

(7)

テーマ：サイト運営あれこれ話(306)

カテゴリ：コンピュータ関係

PHPでは php.ini で register_globals の値を設定出来る.

これを on にしておくと例えば <input type="text" name="n"> なんて感じのとこから来たデータを勝手に変数$nに代入してくれる. とっても楽ちんである.
PHPの場合通常は (GETならば) $n=$_GET['n']; とかってやらなきゃいけないのだけど, それをはしょることが出来るのだ.

しかし, GETの場合はURLにこれらの変数を書くことが出来る. 例えばGoogleなんかで適当な単語(アルファベットの方がわかりやすいかな)を検索してみると URLの中に q=検索した単語があると思う. ここを書き換えることでサーバに送るパラメータを変えることが出来る. 例えば勝手に qq=hoge とかってやると qq という変数に hoge という値入れて送信していることになる.
もちろん qq という変数を取り扱うようにしていなければ問題はない…のだが.

ここで register_globals に話を戻そう.
仮に PHP script内部で $qq という変数を使っていたらどうなるだろうか? 勝手にそこにパラメータをいれさせてしまう可能性がある, ということになる.
POSTでデータをやり取りしているはずなのに GET で送り込まれてしまう可能性だってある.

これが register_globals を off にしておくべき理由の一つである.

register_globalsは昔のPHPだとdefaultで on になっていた. その時代に書かれたScriptの中には on になっていることを前提としているものも少なくない.
ここでえらそーなこと書いてるけど, 自分もそういうScriptを書いていて PHPのバージョンアップで動かなくなった…という恥ずかしい過去がある:-p
もちろん, そいつらは速攻で修正をしたよ.
でも何故に default で off になったのか, それを考えるとそこを on にしなければ動作しない Script で, 特に今でもそれを強要するものには大事な理念がすっぽり抜け落ちている, そんな気がするのだなぁ.

お気に入りの記事を「いいね！」で応援しよう