Modificando diretamente superglobais

Eu já vi pessoas (que geralmente escrevem um bom código) alterar diretamente a $_POSTmatriz com um código como este:

// Add some value that wasn't actually posted
$_POST['last_activity'] = time();

// Alter an existing post value
$_POST['name'] = trim($_POST['name']);

// Our pretend function
// Pass the entire $_POST array as data to work with in the function
// The function update_record() will read only the values we actually need
update_record($_POST);

// ...That sure was easier than creating a new array 
//  with only the $_POST values we actually need.

Faz sentido que update_record()não deva acessar diretamente $ _POST, para que possamos passar outras matrizes de dados para ele, por exemplo, mas certamente isso é preguiçoso, com design ruim ou possivelmente errado? No entanto, ainda estamos passando um array válido para update_record(), então por que criar um novo?

Este não é o ponto da questão, apenas um exemplo de uso. No entanto, ouvi muitas pessoas dizerem que isso não deve ser feito com $_REQUESTdados, e é uma prática ruim. Mas por que? Parece bastante inofensivo.

Exemplos:

• Definir um valor padrão $_GET(ou postar) que realmente não existe

• Adicionando $_POSTvalores que não foram realmente lançados após o envio de um formulário

• Limpar diretamente ou filtrar os $_GETvalores ou chaves da matriz muito cedo no script (saneamento de fallback ... por que não?)

• Configurando um $_POSTvalor manualmente antes do envio do formulário para preencher uma entrada com um valor padrão (quando a entrada lê $_POSTseu valor padrão; eu fiz isso)

• Criando seus próprios $_SERVERvalores? Claro, ei, por que não?

• E os outros, como $_COOKIEe $_SESSION? Claro que temos que modificar diretamente, certo? Então por que não os outros?

A modificação direta de superglobais nunca deve ser feita ou é aceitável em alguns casos?

Dado que o PHP já está definindo esses superglobais, não acho que seja ruim modificá-los. Em alguns casos, pode ser a melhor maneira de resolver problemas ... principalmente ao lidar com códigos de terceiros que você não pode modificar facilmente. (Eles podem usar $_GETdiretamente ou assumir que alguma chave existe $_SERVERetc.)

No entanto, de um modo geral, acho que é uma prática ruim quando você está escrevendo seu próprio código. A modificação dos $_REQUESTdados com algum filtro dos bastidores executado automaticamente em todas as páginas provavelmente apresentará efeitos colaterais. (Veja todos os problemas que as "aspas mágicas" causaram como prova.)

Portanto, se você não fizer isso (filtrar automaticamente os superglobais), o seguinte não trará benefícios:

$_POST['foo'] = filter($_POST['foo']);

quando você pode facilmente fazer:

$foo = filter($_POST['foo']);

Eu acho que é muito mais claro fazer a distinção em todo o site que $_POSTe sempre$_GET são dados não filtrados e não confiáveis, e eles nunca devem ser usados ​​como estão.

Ao copiar o valor filtrado para outra variável, você está afirmando que "entendo o que estou fazendo ... filtramos essa entrada e é seguro usá-la".

Em geral, sugiro que você não modifique as super globais predefinidas para que fique claro o que são dados higienizados e os dados brutos / não confiáveis.

Outros podem sugerir que, se você limpar os superglobais no início do ciclo de solicitação, não precisará se preocupar com eles em nenhum outro lugar.

Eu sempre os combinava quando você precisava deles com:

$id = (int)$_POST['id'];

ou similar.

Em termos de outras variáveis, é boa prática para não escrever a qualquer um $_GET, $_POST, $_REQUEST, $_SERVERou $_COOKIE. $_SESSIONno entanto, é diferente porque geralmente você deseja gravar dados na sessão que persistem em diferentes solicitações da sessão.

Você deveria evitá-lo. Talvez algum tempo você tenha esquecido de higienizar alguma coisa, para recuperar dados perigosos. Se você copiar os dados em uma nova estrutura enquanto estiver limpando

• Você só tem, o que você quer / precisa e não o que está em $_POSTdemais
• Você provavelmente receberá um erro, se a matriz recém-criada estiver faltando algumas chaves ou estiver ausente.

Outros scripts adicionais podem assumir que a matriz está intocada e pode reagir curiosa.

Nunca gostei da ideia de modificar superglobal porque é enganosa. É uma maneira hacky rápida de fazer algo que provavelmente haverá uma maneira melhor de fazer.

Se você alterar o valor de $_POST, por exemplo, estará dizendo que o software recebeu dados que não recebeu.

O REAL PROBLEMA

Existe uma situação da vida real em que isso se torna um grande problema:

Imagine que você está trabalhando em equipe. Em um mundo ideal, todos usam a mesma sintaxe, mas não vivemos em um mundo ideal. Um desenvolvedor, John, gosta de acessar os dados publicados usando $_POST. Ele muda algo nos post vars:

$_POST['ranking'] = 2; // John has changed ranking from 1 to 2 for whatever reason

Então você tem outro desenvolvedor, Chris, que prefere usar filter_inputpara acessar dados inseridos (por exemplo, GET, POST, SERVIDOR, BOLINHO), pois ele protege o software ao processar dados que o usuário pode adulterar. Em sua parte do software, ele precisa obter o valor postado de ranking. Sua parte do código é DEPOIS de John.

$ranking = filter_input(INPUT_POST, 'ranking', FILTER_SANITIZE_NUMBER_INT);
// $ranking = 1

No exemplo acima, alterando uma superglobal, você quebrou o PHP. John definiu o valor de $_POST['ranking']2 por qualquer motivo, mas agora Chris recebeu um valor de 1

Quando não vejo outra maneira de fazer isso:

Trabalhei em um projeto que usava o wordpress como seu blog por trás de um balanceador de carga da AWS. Isso altera o valor de $_SERVER['remote_address']. Nesse caso, o outro desenvolvedor não teve escolha a não ser fazer o seguinte:

if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) {
    $parts = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
    $_SERVER['REMOTE_ADDR'] = $parts[0];
}

Conclusão

Há quase certamente uma maneira melhor do que mudar superglobais

Eu acho que a verdadeira pergunta aqui é "por que você deve modificar o tema?". Não vejo nenhum motivo válido para fazê-lo. Se você precisar limpar uma imput, poderá usar uma variável local…

A menos que o código seja curto o suficiente (digamos, com menos de 50 linhas), modificar essas superglobais apenas tornaria seu código mais difícil de manter e entender.

A propósito, você não precisa passar $ _POST para a função, pois é uma matriz superglobal que pode ser acessada mesmo dentro do escopo local de uma função.

Depois de responder inicialmente a essa pergunta dizendo que não deveria haver motivo para modificar superglobais, estou editando essa resposta com um exemplo de uma época em que decidi.

Atualmente, estou trabalhando em uma tabela de reescrita de URL na qual a requestcoluna direciona o usuário para a targetcoluna correspondente .

Por exemplo, um requestpode ser blog/title-heree targetpode ser blog.php?id=1.

Como blog.phpestá esperando $_GETvariáveis, e eu não quero mudar header("Location:"), estou fazendo algo assim:

$uri    = explode('?', $uri_request)[0];
$params = explode('?', $uri_request)[1];
parse_str($params, $_GET);

Isso cria uma $_GETmatriz que contém os parâmetros pretendidos passados ​​pela targetcoluna.

Por fim, eu recomendaria fortemente não modificar superglobais, a menos que você precise .