


Les risques de sécurité inhérents à l'utilisation de Supergloal $ _request de PHP
Aug 02, 2025 am 01:30 AML'utilisation de $ _Request Superglobal de PHP présente des risques de sécurité car il combine les entrées de $ _get, $ _post et $ _cookie, conduisant à un comportement imprévisible; 2. Il permet aux sources d'entrée involontaires de remplacer celles prévues, comme un cookie malveillant déclenchant une action de suppression destinée à provenir d'une demande de poste; 3. Il augmente la surface d'attaque par la pollution des paramètres, où les attaquants exploitent l'ordre de priorité pour contourner la validation; 4. Il obscurcit le flux de données, ce qui rend les audits de débogage et de sécurité plus difficiles; 5. Les meilleures pratiques incluent l'utilisation de superglobaux spécifiques comme $ _post ou $ _get, validant rigoureusement l'entrée, en évitant les méthodes d'entrée mixtes pour les actions sensibles et en enregistrant les sources d'entrée, par conséquent, les développeurs devraient éviter $ _Request pour éviter les hypothèses exploitables et assurer une gestion sécurisée et prévisible des entrées.
L'utilisation de $_REQUEST
Superglobal de PHP peut sembler pratique, mais il introduit des risques de sécurité subtils mais importants dont les développeurs devraient être conscients. Contrairement aux superglobaux plus spécifiques comme $_GET
, $_POST
, ou $_COOKIE
, $_REQUEST
agrégats l'entrée de plusieurs sources par défaut - obtenez généralement des données, publier et cookie - rendre plus difficile de suivre l'entrée de l'utilisateur. Cette ambigu?té peut conduire à des vulnérabilités si elle n'est pas gérée avec soin.

1. Sources d'entrée involontaires et ordre de priorité
Par défaut, $_REQUEST
combine les données de $_GET
, $_POST
et $_COOKIE
dans cet ordre (selon la directive variables_order
dans php.ini). Cela signifie:
- Un paramètre envoyé via GET pourrait remplacer silencieusement le même paramètre envoyé via Post.
- Un attaquant peut manipuler des cookies pour injecter des valeurs qui sont traitées comme s'il s'agissait de données de forme.
Par exemple:

// code vulnérable if ($ _request ['action'] === 'Delete_User') { delete_user ($ _ demande ['user_id']); }
Un attaquant pourrait élaborer un biscuit malveillant:
Cookie: Action = Delete_User; user_id = 123
Même si votre formulaire utilise la publication, $_REQUEST
ramassera la valeur des cookies, déclenchant potentiellement des actions involontaires sans intention utilisateur.

Ce comportement rend $_REQUEST
imprévisible et dangereux dans des contextes sensibles à la sécurité.
2. Pollution accrue de la surface d'attaque et des paramètres
étant donné que $_REQUEST
tire de plusieurs vecteurs d'entrée, il élargit les attaquants de surface peuvent exploiter. Ceci est particulièrement problématique dans les applications qui ne valident pas ou ne désinfectent pas correctement les entrées.
Considérez ce scénario:
- Votre formulaire attend un paramètre de publication:
email
. - Mais un attaquant ajoute
?email=attacker@example.com
à l'URL. - Si vous utilisez
$_REQUEST['email']
, la valeur GET a priorité (selon la configuration), en contournant la soumission post-seulement prévue.
Ce type de pollution des paramètres peut saper la logique de validation, les protections CSRF et les sentiers d'audit.
3. Flux de données obscurcies et défis de débogage
L'utilisation de $_REQUEST
rend plus difficile de raisonner d'où vient les données. Pendant les examens de code ou le débogage, il n'est pas immédiatement clair si une valeur a été soumise via le formulaire, l'URL ou injectée via des cookies. Cette obscurité:
- Entrave les audits de sécurité
- Complique les stratégies de validation des entrées
- Facilite la manquer des caisses Edge
Utilisation explicite de $_POST
, $_GET
ou $_COOKIE
rend l'intention du développeur clair et force la gestion délibérée de chaque source d'entrée.
Meilleures pratiques pour atténuer les risques
Pour éviter les pièges de $_REQUEST
, suivez ces directives:
- ? Utilisez des superglobaux spécifiques : utilisez
$_POST
pour les données de formulaire,$_GET
pour les paramètres de requête et$_COOKIE
uniquement lorsque cela est nécessaire. - ? Valider et désinfecter rigoureusement les entrées , quelle que soit la source.
- ? évitez de mélanger les méthodes d'entrée pour les opérations sensibles (par exemple, ne permettez pas à la fois de prendre et de publier pour les suppressions).
- ? Set
variables_order
dans php.ini si vous devez utiliser$_REQUEST
, mais mieux encore, ne comptez pas sur elle. - ? Log et audit des sources d'entrée pour les actions critiques pour détecter les anomalies.
Fin de compte
$_REQUEST
n'est pas intrinsèquement mauvais, mais sa commodité se fait au détriment de la clarté et de la sécurité. Dans la plupart des applications du monde réel, le risque de remplacement des entrées involontaires et de flux de données obscurcis l'emporte sur tout avantage. Traitez-le comme une fonctionnalité héritée et optez plut?t pour des superglobals explicites et spécifiques à la source.
Fondamentalement, si vous utilisez $_REQUEST
, vous faites des hypothèses sur les entrées qui pourraient être exploitées. Ne le faites pas.
Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!

Outils d'IA chauds

Undress AI Tool
Images de déshabillage gratuites

Undresser.AI Undress
Application basée sur l'IA pour créer des photos de nu réalistes

AI Clothes Remover
Outil d'IA en ligne pour supprimer les vêtements des photos.

Clothoff.io
Dissolvant de vêtements AI

Video Face Swap
échangez les visages dans n'importe quelle vidéo sans effort grace à notre outil d'échange de visage AI entièrement gratuit?!

Article chaud

Outils chauds

Bloc-notes++7.3.1
éditeur de code facile à utiliser et gratuit

SublimeText3 version chinoise
Version chinoise, très simple à utiliser

Envoyer Studio 13.0.1
Puissant environnement de développement intégré PHP

Dreamweaver CS6
Outils de développement Web visuel

SublimeText3 version Mac
Logiciel d'édition de code au niveau de Dieu (SublimeText3)

Sujets chauds

Pour fusionner deux tableaux PHP et conserver des valeurs uniques, il existe deux méthodes principales. 1. Pour les réseaux d'index ou uniquement la déduplication, utilisez Array_merge et Array_Unique Combinaisons: First Merge Array_merge ($ array1, $ array2), puis utilisez Array_Unique () pour les dédupliquer pour enfin obtenir un nouveau tableau contenant toutes les valeurs uniques; 2. Pour les tableaux associatifs et souhaitez conserver les paires de valeurs clés dans le premier tableau, utilisez l'opérateur: $ result = $ array1 $ array2, ce qui garantira que les clés du premier tableau ne seront pas écrasées par le deuxième tableau. Ces deux méthodes s'appliquent à des scénarios différents, selon que le nom de clé est conservé ou que l'accent est mis sur

Pour déterminer la force du mot de passe, il est nécessaire de combiner un traitement régulier et logique. Les exigences de base comprennent: 1. La longueur n'est pas moins de 8 chiffres; 2. Au moins contenant des lettres minuscules, des lettres majuscules et des chiffres; 3. Des restrictions de caractère spéciales peuvent être ajoutées; En termes d'aspects avancés, la duplication continue des caractères et des séquences incrémentielles / décroissantes doivent être évitées, ce qui nécessite une détection de fonction PHP; Dans le même temps, les listes noires doivent être introduites pour filtrer les mots de passe faibles communs tels que le mot de passe et 123456; Enfin, il est recommandé de combiner la bibliothèque ZXCVBN afin d'améliorer la précision d'évaluation.

Pour gérer en toute sécurité les téléchargements de fichiers PHP, vous devez vérifier la source et taper, contr?ler le nom et le chemin du fichier, définir les restrictions du serveur et traiter les fichiers multimédias deux fois. 1. Vérifiez la source de téléchargement pour empêcher le CSRF via le jeton et détecter le type de mime réel via FINFO_FILE en utilisant le contr?le de liste blanche; 2. Renommez le fichier à une cha?ne aléatoire et déterminez l'extension pour la stocker dans un répertoire non Web en fonction du type de détection; 3. La configuration PHP limite la taille de téléchargement et le répertoire temporaire Nginx / Apache interdit l'accès au répertoire de téléchargement; 4. La bibliothèque GD résait les images pour effacer des données malveillantes potentielles.

Les problèmes et les solutions courants pour la portée de la variable PHP incluent: 1. La variable globale ne peut pas être accessible dans la fonction, et elle doit être transmise en utilisant le mot-clé ou le paramètre global; 2. La variable statique est déclarée avec statique, et elle n'est initialisée qu'une seule fois et la valeur est maintenue entre plusieurs appels; 3. Des variables hyperglobales telles que $ _get et $ _post peuvent être utilisées directement dans n'importe quelle portée, mais vous devez faire attention au filtrage s?r; 4. Les fonctions anonymes doivent introduire des variables de portée parents via le mot clé Utiliser, et lorsque vous modifiez les variables externes, vous devez passer une référence. La ma?trise de ces règles peut aider à éviter les erreurs et à améliorer la stabilité du code.

Il existe trois méthodes courantes pour le code de commentaire PHP: 1. Utiliser // ou # pour bloquer une ligne de code, et il est recommandé d'utiliser //; 2. Utiliser /.../ pour envelopper des blocs de code avec plusieurs lignes, qui ne peuvent pas être imbriquées mais peuvent être croisées; 3. Compétences combinées Commentaires tels que l'utilisation / if () {} / pour contr?ler les blocs logiques, ou pour améliorer l'efficacité avec les touches de raccourci de l'éditeur, vous devez prêter attention aux symboles de fermeture et éviter les nidification lorsque vous les utilisez.

La clé pour rédiger des commentaires PHP est de clarifier l'objectif et les spécifications. Les commentaires devraient expliquer "pourquoi" plut?t que "ce qui a été fait", en évitant la redondance ou trop de simplicité. 1. Utilisez un format unifié, tel que DocBlock (/ * /) pour les descriptions de classe et de méthode afin d'améliorer la lisibilité et la compatibilité des outils; 2. Soulignez les raisons de la logique, telles que pourquoi les sauts JS doivent être sortis manuellement; 3. Ajoutez une description d'une vue d'ensemble avant le code complexe, décrivez le processus dans les étapes et aidez à comprendre l'idée globale; 4. Utilisez TODO et FIXME Rationalement pour marquer des éléments et des problèmes de taches pour faciliter le suivi et la collaboration ultérieurs. De bonnes annotations peuvent réduire les co?ts de communication et améliorer l'efficacité de la maintenance du code.

AgeneratorInphpisamemory-EfficientwaytoterateOrgedatasetsByyieldingValuesonEatatimeIntedofreturningThemallAtonce.1.GeneratorsUsEtheieldKeywordToproduceValuesondemand, ReducingMemoryUsage.2.TheyAreusefulForHandlingBigloops, ReadingLargeFiles, OR OR.

Il existe deux fa?ons de créer un tableau en PHP: utilisez la fonction Array () ou utilisez des supports []. 1. L'utilisation de la fonction Array () est une manière traditionnelle, avec une bonne compatibilité. Définir des tableaux d'index tels que $ fruits = array ("Apple", "banana", "orange") et des tableaux associatifs tels que $ user = array ("name" => "John", "age" => 25); 2. L'utilisation de [] est un moyen plus simple de prendre en charge depuis PHP5.4, comme $ couleur
