Posle vishe najava ... da ne kazem upozorenja, u poslednjoj verziji PHPa [4.2.0] od 22. aprila, po defaultu u php.ini-ju stavljeno je:
register_globals = off
Za one sa jeftinijim kartama objashnjenje ... po defaultu vishe nece raditi dodeljivanje vrednosti varijablama na sledeci nachin:
http://www.bla.com/index.php?ovo=ono
...vishe ovako nece varijabli $ovo moci da se dodeli vrednost "ono".
Obrazlozenje je da je to preveliki bezbednosni rizik.
Da neko pogreshno ne shvati, nije ovo potpuno iskljucheno, promeni se ta linija u php.ini-ju na register_globals = on ...i sve je po starom, ali prvo shto ce biti cimanja dok se admin servera namoli na to, pod uslovom da uopshte zeli da to uradi. Druga stvar je ... velika verovatnoca je da ce u neko, pa hmmm ... skorije vreme ovo POTPUNO izbaciti.
I dalje ce biti moguce prosledjivanje varijabli putem forme [get, post ...nije bitno].
Za ischitavanje tih varijabli josh u verziji PHPa 4.1.0 [mislim] stavljene su varijable $_GET, $_POST, $_COOKIE ... sa kojima mogu da se ischitavaju varijable npr na nachin $_GET["varijabla"]. Da ne gushim previshe, dovoljno objashnjenja ima na adresi:
http://www.php.net/release_4_1_0.php
[da znam da je adresa 4.1.0 ali tu je lepo objashnjeno bash u vezi ovoga register_globals]
Kako zaobici ovu kosku kada se zna da ogroman broj php scripti koristi ovakav nachin dodeljivanja vrednosti varijablama? Od najjednostavnijih, pa do najkomplikovanijih [shopovi, e-commerce sajtovi itd]... pa i ovaj forum.
Mislim znam kako zaobici, ne trazim uputsvo, nego je vishe pitanje radi pitanja, poshto ce morati da se menjaju linije i linije koda a i sve postaje komplikovanije. Umesto da se recimo samo na sajt stavi
<a href="link.php?category=igracke">Igracke</a>
, sada ce morati neshto tako bedno kao
<form action="link.php"><input type=submit name=category value="igracke">
... i slichne varijacije na temu. [ova je chini mi se josh i najjednostavnija, a opet je ruzna
]
Ko ima neka dodatna pitanja ili komentare ... ili jednostavno samo zeli da se rasplache, samo neka raspali ovde.
P.S. Znam koje "security risk" donosi ako je ova opcija ukljuchena [imate chini mi se neshto malo i na ovom linku iznad], ali bez obzira, dobar programer ce znati da prepozna kada ovo register_globals moze da olaksha zivot a da ne ugrozi sigurnost. Zato mislim da je ovo losh potez. Povecali su sigurnost samo na sajtovima sa scriptama koji imaju loshiji coding. Mozda je to nekima bitno, ali mislim da usporava razvoj PHPa.
register_globals = off
Za one sa jeftinijim kartama objashnjenje ... po defaultu vishe nece raditi dodeljivanje vrednosti varijablama na sledeci nachin:
http://www.bla.com/index.php?ovo=ono
...vishe ovako nece varijabli $ovo moci da se dodeli vrednost "ono".
Obrazlozenje je da je to preveliki bezbednosni rizik.
Da neko pogreshno ne shvati, nije ovo potpuno iskljucheno, promeni se ta linija u php.ini-ju na register_globals = on ...i sve je po starom, ali prvo shto ce biti cimanja dok se admin servera namoli na to, pod uslovom da uopshte zeli da to uradi. Druga stvar je ... velika verovatnoca je da ce u neko, pa hmmm ... skorije vreme ovo POTPUNO izbaciti.
I dalje ce biti moguce prosledjivanje varijabli putem forme [get, post ...nije bitno].
Za ischitavanje tih varijabli josh u verziji PHPa 4.1.0 [mislim] stavljene su varijable $_GET, $_POST, $_COOKIE ... sa kojima mogu da se ischitavaju varijable npr na nachin $_GET["varijabla"]. Da ne gushim previshe, dovoljno objashnjenja ima na adresi:
http://www.php.net/release_4_1_0.php
[da znam da je adresa 4.1.0 ali tu je lepo objashnjeno bash u vezi ovoga register_globals]
Kako zaobici ovu kosku kada se zna da ogroman broj php scripti koristi ovakav nachin dodeljivanja vrednosti varijablama? Od najjednostavnijih, pa do najkomplikovanijih [shopovi, e-commerce sajtovi itd]... pa i ovaj forum.
Mislim znam kako zaobici, ne trazim uputsvo, nego je vishe pitanje radi pitanja, poshto ce morati da se menjaju linije i linije koda a i sve postaje komplikovanije. Umesto da se recimo samo na sajt stavi
<a href="link.php?category=igracke">Igracke</a>
, sada ce morati neshto tako bedno kao
<form action="link.php"><input type=submit name=category value="igracke">
... i slichne varijacije na temu. [ova je chini mi se josh i najjednostavnija, a opet je ruzna
]Ko ima neka dodatna pitanja ili komentare ... ili jednostavno samo zeli da se rasplache, samo neka raspali ovde.
P.S. Znam koje "security risk" donosi ako je ova opcija ukljuchena [imate chini mi se neshto malo i na ovom linku iznad], ali bez obzira, dobar programer ce znati da prepozna kada ovo register_globals moze da olaksha zivot a da ne ugrozi sigurnost. Zato mislim da je ovo losh potez. Povecali su sigurnost samo na sajtovima sa scriptama koji imaju loshiji coding. Mozda je to nekima bitno, ali mislim da usporava razvoj PHPa.