PHP 從 4.0.6 升級至 4.2.1 必讀：register_globals 關閉帶來的變量獲取變革

升級後的慘痛教訓

某購物網站在將 PHP 從 4.0.6 升級至 4.2.0 後，原有程序全面失效。根因在於 php.ini 新增預設配置：

register_globals = Off

影響範圍

開啟時，PHP 自動將 $_GET、$_POST、$_COOKIE、$_SESSION、$_SERVER 等超全域陣列中的鍵值註冊為同名全域變量（如 $id、$username）。關閉後，不再自動註冊，直接使用 $id 將得到 NULL 或觸發 Notice。

此變更旨在防止「變量中毒」攻擊：惡意用戶可通過 URL 參數覆蓋內部關鍵變量（如 $is_admin = true），導致權限繞過。

正確的變量獲取方式（兼容 On/Off）

無論 register_globals 如何設置，以下寫法均安全可靠：

最佳實踐

1. 立即改用超全域陣列（$_GET、$_POST 等），棄用直接變量名。
2. 在代碼規範中強制要求顯式來源前綴，提升可讀性與安全性。
3. 若維護舊代碼且無法全面重構，可在入口文件開頭手動導入（極不推薦）：
   extract($_GET); extract($_POST); // 僅作過渡，會重現安全隱患

結論： 提前適應 register_globals = Off 是 PHP 開發者邁向安全編程的必修課。