LINUXSOFT.cz Přeskoč levou lištu
Uživatel: Heslo:  
   CZUKPL

> PHP (90) - Poťouchlé konfigurační volby

Neboli proč si musíte dávat pozor na údaje v php.ini

12.1.2005 15:00 | Petr Zajíc | Články autora | přečteno 25225×

Komerční sdělení: Pořádáme Kurzy PHP

Pojďme se podívat na to, jaké nejčastější problémy související s konfigurací PHP nás mohou potkat. Uvidíte, že to může být poměrně zábavné a že odlišné nastavení mohlo a může způsobit zajímavé věci. Ale popořadě.

Register_globals

Asi nejpopulárnější volba php, nebo aspoň v minulosti nejdiskutovanější je bezesporu register_globals. Pokud je nastavena na ON, tedy zapnuto, jsou automaticky proměnné z polí $_GET[], $_POST[] a $COOKIE[] k dispozici jako globální. Malá ukázka to osvětlí; dejme tomu, že příklad níže je uložen ve skriptu test.php a volán jako test.php&id=5:

echo "Register_globals je nastaveno na: ".ini_get('register_globals')."<BR>\n";
echo
"Pomocí pole \$_GET je vždy k dispozici: ".$_GET["id"]."<BR>\n";
echo
"Jako globální proměnná: ".$id."<BR>\n";

Jestliže bude v php.ini register_globals ZAPNUTO, bude výstup tento:

Register_globals je nastaveno na: 1
Pomocí pole $_GET je vždy k dispozici: 5
Jako globální proměnná: 5

Jestliže však bude v php.ini register_globals VYPNUTO, bude výstup tento:

Register_globals je nastaveno na:
Pomocí pole $_GET je vždy k dispozici: 5
Jako globální proměnná:

Jak tedy vidíte, je v případě zapnuté volby register_globals proměnná $_GET["id"] k dispozici i jako $id.

Pozn.: Pokud si to chcete vyzkoušet doma, budete mezi jednotlivými spuštěními skriptu muset upravit soubor php.ini. Pokud vám běhá php jako modul serveru Apache, budete muset navíc ještě restartovat Apache, a to z toho prostého důvodu, že php.ini se v takovém případě načítá pouze při startu webového serveru.

Možná si kladete otázku, proč je kolem toho takový randál? Není to snad poměrně jasné? Rámus kolem této konfigurační volby vznikl ve třetím čtvrtletí roku 2000, kdy byla vydána verze PHP 4.2.0. Tato verze totiž (a později každá následující) jakožto výchozí volbu po instalaci PHP poprvé nastavila register_globals na VYPNUTO. Uživatelům, kteří spoléhali na automatickou registraci proměnných (to je ten PRVNÍ z případů výše), tak rázem přestaly fungovat některé skripty.

Byla to vzrušující doba. Jedni reagovali obviňováním autorů PHP, jiní nahlašovali chybu do bugreportů, další požadovali ihned globální proměnné zpět ZAPNOUT a ještě jiní uvažovali o přechodu na jiný jazyk, protože tohle pro ně bylo prostě příliš...

Pozn.: Dnes je situace taková, že na "klasických" hostinzích budete mít nejspíš register_globals vypnuté s tím, že na požádání vám ji zapnou. Chtít to zapnout je ale velmi špatný nápad, viz níže.

Fakt je, že autoři PHP měli ke změně výchozího chování programu poměrně pádné důvody. Ze stejných důvodů byste měli psát skripty tak, aby fungovaly BEZ nutnosti registrace globálních proměnných. Takže, ty důvody jsou dva:

  1. Výkonový - Jestliže skript musel zaregistrovat proměnné jako globální, zabralo to pochopitelně nějakou dobu, která by jinak mohla být věnována dalšímu zpracování skriptu. Vypnutím register_globals to už nebylo nutné a PHP tedy reaguje v takovém případě rychleji.
  2. Bezpečnostní - Se zapnutými register_globals se dá poměrně snadno útočit na webové stránky. Jestliže například víte nebo tušíte, že skript cosi.php používá proměnnou isadmin, a na serveru jsou zapnuty register_globals, můžete se pokusit zaútočit pomocí url cosi.php?isadmin=1 a doufat, že podstrčená proměnná skript zmátne. S vypnutými register_globals to fungovat nemusí.

Pozn.: To neznamená, že skripty v prostředí, kde je zapnuto register_globals jsou všechny nebezpečné. Spíše je to tak, že se musejí přísněji kontrolovat. Rovněž to neznamená, že po vypnutí register_globals budou vaše skripty v bezpečí. Jen toto konkrétní riziko je menší. Na serveru PHP je o tom celém pěkné pojednání.

Pozn: Popsanými potížemi naštěstí nejsou ovlivněny proměnné $_SESSION. Ty se totiž zpracovávají jinak.

Moje doporučení je: register_globals VYPNOUT a psát skripty tak, aby fungovaly i bez něj i s ním.

variables_order

To je částečně související problém s tím prvním. Jestliže byly zapnuty register_globals a dvě proměnné by "padly" do stejné globální proměnné (například $_GET["id"] a $_COOKIE["id"]), která to vyhraje? To je ovlivněnou volbou variables_order v php.ini. Ta bude nejspíš vyjádřena pětipísmennou zkratkou ve stylu "EGPCS", kde jednotlivá písmena znamenají:

  • E - pole $_ENV
  • G - pole $_GET, tedy proměnné z URL
  • P - pole $_POST, tedy proměnné z formulářů
  • C - pole $_COOKIE, tedy proměnné z uložených cookies
  • S - pole $_SERVER, tedy informace o samotném serveru, který soubor zpracovává

Znamená to, že při konfliktu globálních proměnných bude přiřazena do globální proměnné hodnota z toho pole, které je v seznamu později, tedy více vpravo.

Možná si kladete otázku: "Proč se tím zabývat - když se přece nebudou používat globální proměnné, tak se nic nemůže stát?" Stát se může, a to při použití pole $_REQUEST. Toto asociativní pole totiž bude obsahovat proměnné z GET, POST i COOKIES. A pokud budou názvy kolidovat, použije k rozřešení právě konfigurační volbu variables_order.

Možností, jak to obejít je několik. Mezi nejznámější patří:

  • Vůbec nepoužívat pole $_REQUEST a používat namísto toho pole $_GET, $_POST a $_COOKIE.
  • Nastavit si chování volby variables_order podle svých potřeb v každém skriptu pomocí ini_set. To půjde, protože variables_order patří zrovna mezi ty volby, které můžete individuálně nastavovat.
  • Důkladně testovat data, predaná pomocí $_REQUEST, což je ostatně vždy žádoucí.

Pozn.: Opět platí, že proměnné $_SESSION nejsou ovlivněné pořadím předávání proměnných a tudíž nemohou být přepsány. V praxi to znamená, že jejich použití je poměrně bezpečné. Možná právě proto jsou tak oblíbené mezi programátory PHP stránek.

Moje doporučení je: Důkladně testovat data. Jinak se obecně použití pole $_REQUEST nevyhýbám protože mohou existovat situace, kdy data mohou dorazit jak pomocí metody POST, tak pomocí metody GET. Takže to v takovém případě zjednodušuje práci.

Příště se podíváme na zbytek konfiguračních voleb, které Vám mohou zatopit při tvorbě webových stránek.

Verze pro tisk

pridej.cz

 

DISKUZE

Nejsou žádné diskuzní příspěvky u dané položky.



Příspívat do diskuze mohou pouze registrovaní uživatelé.
> Vyhledávání software
> Vyhledávání článků

15.5.2017 23:50 /František Kučera
Máš rád svobodný software a hardware nebo se o nich chceš něco dozvědět? Zajímá tě DIY, CNC, SDR nebo morseovka? Přijď na sraz spolku OpenAlt, který se bude konat ve čtvrtek 18. května od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5).
Přidat komentář

12.5.2017 16:42 /Honza Javorek
PyCon CZ, česká konference o programovacím jazyce Python, se po dvou úspěšných ročnících v Brně bude letos konat v Praze, a to 8. až 10. června. Na konferenci letos zavítá např. i Armin Ronacher, známý především jako autor frameworku Flask, šablon Jinja2/Twig, a dalších projektů. Těšit se můžete na přednášky o datové analytice, tvorbě webu, testování, tvorbě API, učení a mentorování programování, přednášky o rozvoji komunity, o použití Pythonu ve vědě nebo k ovládání nejrůznějších zařízení (MicroPython). Na vlastní prsty si můžete na workshopech vyzkoušet postavit Pythonem ovládaného robota, naučit se učit šestileté děti programovat, efektivně testovat nebo si v Pythonu pohrát s kartografickým materiálem. Kupujte lístky, dokud jsou.
Přidat komentář

2.5.2017 9:20 /Eva Rázgová
Putovní konference československé Drupal komunity "DrupalCamp Československo" se tentokrát koná 27. 5.2017 na VUT FIT v Brně. Můžete načerpat a vyměnit si zkušenosti z oblasti Drupalu 7 a 8, UX, SEO, managementu týmového vývoje, využití Dockeru pro Drupal a dalších. Vítáni jsou nováčci i experti. Akci pořádají Slovenská Drupal Asociácia a česká Asociace pro Drupal. Registrace na webu .
Přidat komentář

1.5.2017 20:31 /Pavel `Goldenfish' Kysilka
PR: 25.5.2017 proběhne v Praze konference na téma Firemní informační systémy. Hlavními tématy jsou: Informační systémy s vlastní inteligencí, efektivní práce s dokumenty, mobilní přístup k datům nebo využívání cloudu.
Přidat komentář

15.4.2017 15:20 /František Kučera
Máš rád svobodný software a hardware nebo se o nich chceš něco dozvědět? Zajímá tě IoT a radiokomunikace? Přijď na sraz spolku OpenAlt, který se bude konat ve středu 19. dubna od 18:30 v Šenkovně (Sokolská 60, Praha 2).
Přidat komentář

5.3.2017 19:12 /Redakce Linuxsoft.cz
PR: 23. března proběhne v Praze konferenci na téma Cloud computing v praxi. Hlavními tématy jsou: Nejžhavější trendy v oblasti cloudu a cloudových řešení, Moderní cloudové služby, Infrastruktura současných cloudů, Efektivní využití cloudu, Nástrahy cloudových řešení a jak se jim vyhnout.
Přidat komentář

27.2.2017 22:12 /František Kučera
Pozvánka na 137. sraz OpenAlt – Praha: Tentokrát jsme si pro vás připravili neobvyklou akci. Ve středu 1.3. v 17:30 nás přivítá sdružení CZ.NIC ve svých prostorách v Milešovské ulici číslo 5 na Praze 3, kde si pro nás připravili krátkou prezentaci jejich činnosti. Následně navštívíme jejich datacentrum pod Žižkovskou věží. Provedou nás prostory, které jsou běžnému smrtelníkovi nedostupné!
Po ukončení prohlídky se všchni odebereme do hostince U vodoucha, Jagelonská 21, Praha 3 pochutnat si na některém z vybraných piv či dát si něco na zub. Rezervaci máme od 19:30, heslo je OpenAlt.
Ale pozor! Do prostor datového centra máme omezený přístup, dostane se tam pouze 10 lidí! Takže kdo přijde dříve, ten má přednost, a občanky s sebou! Kdo nebude chtít na prohlídku datového centra, může se pomalu přesunout do hostince U vodoucha a u nepřeberné nabídky piv počkat na ostatní.
Přidat komentář

18.1.2017 0:49 /František Kučera
Členové a příznivci spolku OpenAlt se pravidelně schází v Praze a Brně. Fotky z pražských srazů za uplynulý rok si můžete prohlédnout na stránkách spolku. Příští sraz se koná už 19. ledna – tentokrát je tématem ergonomie ovládání počítače – tzn. klávesnice, myši a další zařízení. Také budete mít příležitost si prohlédnout pražský hackerspace Brmlab.
Přidat komentář

   Více ...   Přidat zprávičku

> Poslední diskuze

27.7.2017 12:24 / Jaromir Obr
Cteni/zapis

26.7.2017 21:12 / Jaromir Obr
Podminka

15.6.2017 9:34 / Ondřej Havlas
php,

10.6.2017 10:39 / Temple
sell home for cash

11.5.2017 23:32 / lelo
Re: Problém se správcem balíčků

Více ...

ISSN 1801-3805 | Provozovatel: Pavel Kysilka, IČ: 72868490 (2003-2017) | mail at linuxsoft dot cz | Design: www.megadesign.cz | Textová verze