PHP 5.4 以上でも register_globals と生きていくために

追記 (12/24)

PHP 5.4 以上でも register_globals と生きていくために $_SESSION のことも忘れてはいけない - Thanks Driven Life

セッションを扱う場合は ↓ だけでは対策が不十分なので ↑ もご参照下さい

register_globalsをonとした場合、この機能により、HTMLフォームから投稿される変数と同時に、あらゆる種類の変数がスクリプトに注入されることになります。これは、PHPにおいては変数の初期化が不要であるということにも関係し、安全でないコードを書くことが極めて容易になるということを意味します。

f:id:gongoZ:20141126222546p:plain

経緯

そんなものあってはならない(憤怒)

方法

簡単に言うと register_globals が提供している機能と同じことをすれば良いと思われます。

<?php
function registerGlobals(array $variables)
{
    foreach ($variables as $name => $value) {
        $GLOBALS[$name] = $value;
    }
}

function registerGlobalsWithMagicQuotesGpc(array $theVariables)
{
    registerGlobals(array_map('addshales', $theVariables));
}

function emulateRegisterGlobals()
{
    $files = array();

    foreach ($_FILES as $field => $info) {
        foreach ($info as $key => $value) {
            if ($key === 'tmp_name') {
                $name = $field;
            } else {
                $name = "${field}_${key}";
            }

            $files[$name] = $value;
        }
    }

    registerGlobals($files);

    foreach (str_split(ini_get('variables_order')) as $variableName) {
        switch (strtolower($variableName)) {
            case 'e':
                registerGlobals($_ENV);
                break;
            case 'g':
                registerGlobalsWithMagicQuotesGpc($_GET);
                break;
            case 'p':
                registerGlobalsWithMagicQuotesGpc($_POST);
                break;
            case 'c':
                registerGlobalsWithMagicQuotesGpc($_COOKIE);
                break;
            case 's':
                registerGlobals($_SERVER);
                break;
        }
    }
}