Langsung memodifikasi superglobals

Saya telah melihat orang (yang umumnya menulis kode yang baik) langsung mengubah $_POSTarray dengan kode seperti ini:

// Add some value that wasn't actually posted
$_POST['last_activity'] = time();

// Alter an existing post value
$_POST['name'] = trim($_POST['name']);

// Our pretend function
// Pass the entire $_POST array as data to work with in the function
// The function update_record() will read only the values we actually need
update_record($_POST);

// ...That sure was easier than creating a new array 
//  with only the $_POST values we actually need.

Masuk akal bahwa update_record()seharusnya tidak mengakses $ _POST secara langsung, jadi kita dapat mengirimkan array data lain misalnya, tetapi tentu ini malas, desain yang buruk, atau mungkin hanya salah? Namun, kami masih meneruskan array yang valid update_record(), jadi mengapa membuat yang baru?

Ini bukan inti dari pertanyaan, hanya sebuah contoh penggunaan. Namun, saya telah mendengar banyak orang mengatakan bahwa ini tidak boleh dilakukan dengan $_REQUESTdata, dan itu praktik yang buruk. Tapi kenapa? Terlihat tidak berbahaya.

Contoh:

• Menetapkan nilai default $_GET(atau posting) yang tidak benar-benar ada

• Menambahkan $_POSTnilai yang tidak benar-benar diposting setelah pengiriman formulir

• Sanitasi langsung atau memfilter nilai $_GETarray atau kunci sangat awal dalam skrip (sanitasi fallback ... mengapa tidak?)

• Menetapkan $_POSTnilai secara manual sebelum pengiriman formulir untuk mengisi input dengan nilai default (ketika input membaca $_POSTuntuk nilai standarnya; Saya telah melakukan ini)

• Membuat $_SERVERnilai - nilai Anda sendiri ? Tentu, hei kenapa tidak?

• Bagaimana dengan yang lain, suka $_COOKIEdan tidak $_SESSION? Tentu saja kita harus memodifikasinya secara langsung bukan? Lalu mengapa tidak yang lain?

Haruskah modifikasi superglobals langsung tidak pernah dilakukan, atau apakah boleh dilakukan dalam beberapa kasus?

Mengingat PHP sudah mengatur superglobals itu, saya tidak berpikir itu jahat untuk memodifikasinya. Dalam beberapa kasus, ini mungkin cara terbaik untuk menyelesaikan masalah ... terutama ketika berhadapan dengan kode pihak ketiga yang tidak mudah Anda modifikasi. (Mereka mungkin menggunakan $_GETsecara langsung atau menganggap beberapa kunci ada $_SERVER, dll.)

Namun, secara umum, saya pikir ini adalah praktik yang buruk ketika Anda menulis kode Anda sendiri. Memodifikasi $_REQUESTdata dengan beberapa filter di balik layar yang berjalan pada setiap halaman secara otomatis cenderung menimbulkan efek samping. (Lihat semua masalah yang disebabkan "kutipan sihir" sebagai bukti.)

Jadi, jika Anda tidak akan melakukan itu (secara otomatis menyaring superglobals), maka yang berikut ini tidak memberi Anda manfaat:

$_POST['foo'] = filter($_POST['foo']);

ketika Anda dapat dengan mudah melakukannya:

$foo = filter($_POST['foo']);

Saya pikir itu jauh lebih jelas untuk membuat perbedaan situs-lebar yang $_POSTdan $_GETyang selalu tanpa filter, data yang tidak dipercaya, dan mereka harus tidak pernah digunakan sebagai-adalah.

Dengan menyalin nilai yang difilter ke variabel lain, Anda membuat klaim bahwa, "Saya mengerti apa yang saya lakukan ... Saya telah memfilter input ini, dan aman untuk digunakan."

Saya biasanya menyarankan agar Anda tidak mengubah super-global yang telah ditentukan sebelumnya sehingga jelas apa data yang disanitasi dan data mentah / tidak dipercaya.

Orang lain mungkin menyarankan bahwa jika Anda membersihkan superglobals pada awal siklus permintaan maka Anda tidak perlu khawatir tentang mereka di tempat lain.

Saya selalu mencocokkannya saat Anda membutuhkannya:

$id = (int)$_POST['id'];

atau serupa.

Dalam hal variabel lain itu praktek yang baik untuk tidak menulis ke salah $_GET, $_POST, $_REQUEST, $_SERVERatau $_COOKIE. $_SESSIONNamun berbeda karena Anda sering ingin menulis data ke sesi yang kemudian bertahan di berbagai permintaan dalam sesi.

Anda harus menghindarinya. Mungkin suatu saat Anda lupa membersihkan sesuatu, maka Anda dapat mengambil data berbahaya. Jika Anda menyalin data ke struktur baru saat membersihkan

• Anda hanya mendapatkan, apa yang Anda inginkan / butuhkan dan bukan apa yang ada di $_POSTdalamnya juga
• Anda mungkin akan mendapatkan kesalahan, jika array yang baru dibuat kehilangan beberapa kunci atau hilang sama sekali

Skrip lain tambahan mungkin berasumsi, bahwa array tidak tersentuh dan mungkin bereaksi penasaran.

Saya tidak pernah menyukai gagasan memodifikasi superglobal karena itu menyesatkan. Ini adalah cara cepat untuk melakukan sesuatu yang hampir pasti ada cara yang lebih baik untuk dilakukan.

Jika Anda mengubah nilai $_POST, misalnya, maka Anda mengatakan bahwa perangkat lunak menerima data yang tidak.

MASALAH NYATA

Ada situasi kehidupan nyata di mana ini menjadi masalah besar:

Bayangkan Anda bekerja dalam sebuah tim. Di dunia yang ideal, semua orang menggunakan sintaksis yang sama, tetapi kita tidak hidup di dunia yang ideal. Salah satu pengembang, John, suka mengakses data yang diposting menggunakan $_POST. Dia mengubah sesuatu di post vars:

$_POST['ranking'] = 2; // John has changed ranking from 1 to 2 for whatever reason

Kemudian Anda memiliki pengembang lain, Chris, yang lebih suka menggunakan filter_inputuntuk mengakses data yang dimasukkan (yaitu GET, POST, SERVER, COOKIE) untuk melindungi perangkat lunak saat memproses data yang dapat diubah oleh pengguna. Di bagian perangkat lunaknya, ia perlu mendapatkan nilai posting ranking. Bagiannya dari kode adalah SETELAH milik John.

$ranking = filter_input(INPUT_POST, 'ranking', FILTER_SANITIZE_NUMBER_INT);
// $ranking = 1

Dari contoh di atas, dengan mengubah superglobal, Anda telah merusak PHP. John telah menetapkan nilai $_POST['ranking']ke 2 untuk alasan apa pun, tetapi sekarang Chris telah menerima nilai 1

Ketika saya tidak melihat cara lain untuk melakukannya:

Saya bekerja pada sebuah proyek yang menggunakan wordpress sebagai blognya di belakang load-balancer AWS. Ini mengubah nilai $_SERVER['remote_address']. Dalam hal ini, pengembang lain tidak punya pilihan selain melakukan hal berikut:

if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) {
    $parts = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
    $_SERVER['REMOTE_ADDR'] = $parts[0];
}

Kesimpulan

Hampir pasti ada cara yang lebih baik daripada mengganti superglobals

Saya pikir pertanyaan sebenarnya di sini adalah "mengapa Anda harus memodifikasi tema?". Saya tidak melihat alasan yang sah untuk melakukannya. Jika Anda perlu membersihkan imput, Anda mungkin ingin menggunakan variabel lokal ...

Kecuali jika kode Anda cukup pendek (katakanlah, panjangnya kurang dari 50 baris), memodifikasi yang super global hanya akan membuat kode Anda lebih sulit untuk dipelihara dan undersand.

Omong-omong, Anda tidak perlu meneruskan $ _POST ke fungsi, karena ini adalah array superglobal yang dapat diakses bahkan dalam lingkup fungsi lokal.

Setelah awalnya menjawab pertanyaan ini dengan mengatakan seharusnya tidak ada alasan untuk memodifikasi superglobals, saya mengedit jawaban ini dengan contoh saat saya memutuskan untuk melakukannya.

Saat ini saya sedang mengerjakan tabel database penulisan ulang URL di mana requestkolom mengarahkan pengguna ke targetkolom yang sesuai .

Misalnya, requestmungkin blog/title-heredan targetmungkin blog.php?id=1.

Karena blog.phpmengharapkan $_GETvariabel, dan saya tidak ingin mengubah header("Location:"), saya melakukan sesuatu seperti ini:

$uri    = explode('?', $uri_request)[0];
$params = explode('?', $uri_request)[1];
parse_str($params, $_GET);

Ini menciptakan $_GETlarik yang berisi parameter yang dimaksudkan dilewatkan oleh targetkolom.

Pada akhirnya, saya akan sangat menyarankan untuk memodifikasi superglobals kecuali Anda benar-benar harus melakukannya .