varijable automatski u sesiju?

[Nemanja Avramović]

Instalirao sam neku aplikaciju na EasyPHP kod drugara, i sad, kad se logujem imam ovako nešto:

PHP kôd:

$user = $_POST['user'];
$pass = $_POST['pass'];
mysql_blabla... //provera da li korisnik postoji i da li je tacan uneti password

session_start();
$_SESSION['user'] = $user;
$_SESSION['id'] = $id; //izvuceno iz baze
$_SESSION['access'] = $access_level; //takodje iz baze
... 


E sad, u skoro svim ostalim fajlovima se koriste ovi podaci koji su upisani u sesiju, ali kod ovog ortaka kad npr. setujem $user promenljivu koja nema nikakve veze sa $_SESSION['user'], promenljiva u sesiji ($_SESSION['user']) dobija vrednost koja je dodeljena promenljivoj $user. Druge promenljive (npr. $pera) se ne kopiraju na isti način u sesiju već samo one koje već postoje u nizu $_SESSION

Faktički, dešava se ovako nešto:

PHP kôd:

session_start();
$_SESSION['user'] = 'Avram';
$user = 'Nemanja';
echo $_SESSION['user']; //ispisace: Nemanja 


Malo sam Googlao ali nisam našao ništa korisno, pa rekoh možda ovde zna zbog čega se ovo dešava (neko podešavanje u php.ini)?

Napominjem, to se samo kod ovog drugara dešava. Nema nešto mnogo fajlova tako da mi nije neki preteran problem da izmenjam imena promenljivih koje se nalaze i u $_SESSION nizu, ali mi se to ne sviđa zato što, kao prvo moram da editujem dvadesetak fajlova i u svakom da izmenim 5-6 promenljivih na X mesta, i kao drugo - zato što me zanima zašto se ovo dešava i da li može da se isključi to automatsko "preslikavanje"?

[Ivan]

http://www.php.net/register_globals ?

[Nemanja Avramović]

Ladno je to... ne verujem... :S
Hvala... ni u jednom trenutku mi to nije palo na pamet... Čudi me da je uopšte po defaultu i uključeno, ako je uopšte uključeno po defaultu... ovaj drugar nije umeo da uključi jer nije ni znao za register_globals... ma, nije ni bitno, bitno je da radi

Hvala još jednom, uštedeo si mi dosta posla...

[Ivan]

Profy je sto od 6ice nece vise postojati, jer je ogroman security propust ...

[Nemanja Avramović]

Slažem se. A i zbunjuje korisnike, kao npr. mene sada. Nailazio sam na skripte koje su pisane tako da je register_globals uključen, a na serveru nije, pa skripta ne radi. Ali nije mi se dešavalo ovo što mi se sad desilo - obrnut slučaj: da je skripta pisana tako da je reg_globals isključen, a na serveru je uključen pa skripta brlja.

Jes' da će neke stare skripte definitivno pući kada se izbaci register_globals, ali mislim da su autori istih imali sasvim dovoljno vremena da ih preprave da rade kad je register_globals off, odnosno kad je register_globals ne bude postojao.

[Ivan]

Jos je zanimljivije kada trebas da odradis security audit sa sve saniranjem koda na platformi gde register_globals mora biti ukljucen

[dinke]

Pretpostavljam tako sto u header svakog fajla stavis

PHP kôd:

ini_set('register_globals', 0); 


[Ivan]

Hehe, bilo bi lepo da je tako

[cvele]

ili

session_start();

$perica = &$_SESSION['perica'];

Pa onda recimo

$perica->milica = "to su srca dva"

je u sesiji

[Ilija Studen]

Ljudi napisali funkcije da se resetuje sranje koje register globals napravi: unregister_globals.