PANTIP.COM :DEVELOPER [DW2510317] ทำไมเราต้องใช้ $_POST, $_GET ในเมื่อตัวแปรมันรับค่ามาโดยอัตโนมัติอยู่แล้ว

ความคิดเห็นที่ 3

อธิบายสั้น ๆ หรือ ยาว ๆ ดีล่ะ !^^
ยาว ๆ ละกัน เกิดอยากพิมพ์ขึ้นมาพอดี

ใน PHP มีตัวตั้งค่าตัวหนึ่ง ชื่อ register_globals
(ตั้งแต่ PHP > 4.2.3 ตั้งค่าได้ใน php.ini หรือ .htaccess
หรือ httpd.conf หรือ ... คือเป็น PHP_INI_PERDIR)
ถ้าตัวนี้เป็น on แล้ว ตัวแปรหลาย ๆ ตัวก็จะกลายเป็นตัวแปรที่เป็น global
เช่น ตัวแปรที่รับจาก http GET หรือ POST ก็จะรับได้ตรง ๆ
เช่น http://foobar.com?foo=bar
เมื่อ php ทำงานก็จะสร้าง $foo ซึ่งมีค่า bar มาให้

ทีนี้มีตัวนี้ (register_globals = on) ดีหรือไม่ - -?
คำตอบแบบกระชับ คือ มองในแง่ความง่ายแล้วดี (Rasmus L. เคยให้ความเห็นทำนองนี้)
แต่อาจจะมีปัญหาเรื่อง ความปลอดภัย ในกรณีที่เขียนโปรแกรมแบบหลวม ๆ
ตัวอย่างแคละสิก ของเรื่องนี้ เช่น

// index.php
if ('admin' == $user && 'enigma' == $password) {
$foo = 'foolaccess';
}

if ('foolaccess' == $foo) {
// Go to secret page.
}
// Go to normal page.

แล้ววันหนึ่งเจ้าหนูคอมพิ้วเต้อร์ก็มาเรียก page นี้ โดยเรียก index.php?foo=foolaccess
ผลก็คือ เจ้าหนูนั่นเข้าไปหน้า secret page ได้

แล้วจะใช้อะไรแทนดี - -?
คำตอบคือ superglobals เช่น $_GET, $_POST ซึ่งมีให้ใช้ตั้งแต่ PHP4.1.0
มีปัญหาหรือไม่ - -?
ถ้ายังส่งต่อไปให้แบบเดิม ก็ ปัญหาเดิม เช่น
$user = $_GET['user']; // หรือ = $_POST['user']; ก็ตาม
ปัญหาก็ยังเหมือนเดิม คือ ใคร ๆ ก็สามารถเปลี่ยนค่า user ได้

นั่นเพราะปัญหาจากตัวอย่าง แท้จริงมิได้เป็นปัญหาจาก global
แต่เป็นปัญหาการเขียนโปรแกรมที่ ตัวแปรไม่ถูกกำหนดค่าเริ่มต้น (uninitialized)

รู้เช่นนั้นแล้วทำไมยังต้องใช้ superglobals อีก
- มีปัญหาเรื่องอื่นอีก
- บั๊กที่เกิดในกรณี register_globals = on มี priority ต่ำในการแก้
(เหตุเพราะ default ของ register_globals เป็น off ตั้งแต่ PHP4.2.0
จากการถูก vote ให้ off เพราะคิดว่าทำให้เกิดความปลอดภัย
มากขึ้นต่อผู้เริ่ม ใช้/เขียน PHP)
- register_globals จะถูกถอดทิ้งใน PHP6 (ไม่มีให้ตั้งค่าแล้ว)
( http://www.pantip.com/tech/developer/topic/DW2444863/DW2444863.html )
( มีโหวตให้เอาออกตั้งแต่ PHP5.3 ด้วย แต่ ผลโหวตยังให้มีอยู่ )

เพิ่มเิติม
จริง ๆ แล้ว PHP มีเครื่องมือช่วยสำหรับ uninitilized vairable
ก็คือ ถ้า ตั้งค่าเป็น E_ALL (คือให้แสดง notice ด้วย)
ถ้ามี uninitilized variable แล้ว PHP ก็จะแสดง notice ( /me ทำใน Development)

คำถามว่า อยู่ที่ไหน ไฟล์อะไรนั้น ก็ php.ini
ลองหา ๆ ดู ถ้าไม่พบหรือเปลี่ยนไม่ได้ให้มาถามอีกที ;)

จากคุณ : pinkFloyd.ads - [ 2 ม.ค. 51 19:25:44 ]

Confirmed by : ปวดหมอง , เอนิคุส , Dr.Yes