nadpisywanie zmiennej sesyjnej Opcje

[a79rtur]

czesc. mam nastepujacą sytuacje: server ma wlaczone register globals i nie ma mozliwosci ich wylaczenia. jest zmienna w adresie powiedzmy o nazwie $zmienna i zmienna sesyjna o tej samej nazwie jest nadpisywana przez zmienną w adresie ? jak zrobic zeby tak sie nie działo poza oczywistym sposobem jak zmiana nazwy którejs z nich (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

[crash]

Nie da rady. Taka jest już "zaleta" register_globals.

[dr_bonzo]

Ale przeciez nadal mozesz sie odwolac do $_SESSION[ 'zmianna' ] (ew. HTTP_...)?

[hawk]

Dokładnie. register_globals samo w sobie nie jest żadnym problemem. Problemem jest głupota ludzi którzy tego używają.
Wystarczy, że olejesz kompletnie ten "feature" i będziesz przykładnie używał $_POST itd. No, prawie wystarczy (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg) . Oprócz tego musisz inicjować wszystkie "normalne" zmienne, żeby ktoś ci nie zrobił variable poisoning.

[a79rtur]

Oprócz tego musisz inicjować wszystkie "normalne" zmienne, żeby ktoś ci nie zrobił variable poisoning.

inicjowac? tzn jak ?

[crash]

Np. zmienne post: $dana = $_POST['dana'];...

[hawk]

Nie, chodziło mi o coś innego. Np:

[PHP] pobierz, plaintext 
<?php
if (userIsLoggedIn()) {
  $foobar = true;
}
//...
if ($foobar) {
 //ok, logged in
}
?>
[PHP] pobierz, plaintext 

To by była katastrofa z register_globals, bo zawsze można wpisać w przeglądarce www.example.com/index.php?foobar=1. Innymi słowy, trzeba szczególnie uważać, żeby nie używać zmiennych, które mogą być niezainicjowane przez skrypt. Taka praktyka zawsze jest zła, ale tutaj jest szczególnie zła.
W powyższym przykładzie trzeba dodać "else $foobar = false" lub "if (!empty($foobar))".

[a79rtur]

czyli np. dostaje login i haslo z formularza np. $_POST['login'], $POST['haslo']
i sprawdzam pozniej w zapytaniu mysql czy są poprawne.
to powinienem ja przypisac do jakis zmiennych np. $login=$_POST['login'] czy sie odwoływac przez $_POST['login'] ?

[crash]

Obojętnie, wygodniej chyba przypisać do $login...