php設定ファイルについて

質問

セキュリティ上よろしくないとは知りながら、register_globalsの設定をonに変えたいと思っています。
で、いろいろ調べたのですが、ユーザーレベルでこの設定を変えるにはphpファイルのあるディレクトリでphp.iniというファイルを置き、中身を「register_globals=on」にする方法と、.htaccessを置いて中身を「php_flag register_globals on」とする方法と２つあるようですが、この方法はどちらもどのサーバーでも有効な方法なのでしょうか。
.htaccessについては許可していないサーバーもあるようですので万能ではないようですが、許可されているかされていないかは別として、これらのファイルを置けば有効になるものなのか、それともサーバー管理者が「このファイルにこう書けばOK」と設定次第で有効になるものなのかが知りたいのです。

よろしくお願いいたします。

回答No.2

-kit · ベストアンサー

> 同等にグローバル変数を渡せるようになるという
> 解釈でいいんですよね？

同様に使えますが、同等な使い方ではなく、

$temp = $HTTP_GET_VARS['temp']

という風にそれぞれ環境変数から取り出さないといけません。

register_globals を有効にすると、
この手間がなくて楽なんですけど、
第三者も変数を勝手に書き換えられることになります。

というわけで、
php.ini の設定はそのままで、
$HTTP_それぞれ_VARS から取り出すコードを
追加した方がいいかと思います。

参考URL：

http://www.php.net/manual/ja/security.registerglobals.php

お礼

どうもありがとうございました。
大変助かりました。

回答No.1

-kit

たぶんどちらの方法でも大丈夫です。

ただ、セキュリティ上、register_globals よりも track_vars の方がいいですが。。。

参考URL：

http://www.linux.or.jp/JF/JFdocs/Secure-Programs-HOWTO/php.html

お礼

どうもありがとうございました。
参考URLもちょっと言い回しがくどくってよく理解できないところがあるのですが、「php_flag track_vars On」で「php_flag register_globals On」と同等にグローバル変数を渡せるようになるという解釈でいいんですよね？
実際に試してみればいいんですが。。。