Superglobālie mainīgie: $_GET, $_POST, $_FILES un citi

Īsi: Superglobālie mainīgie ir iepriekš definēti masīvi, ko PHP katrā pieprasījumā aizpilda automātiski un kas ir pieejami visur kodā. $_GET satur parametrus no adreses, $_POST veidlapu datus, $_FILES augšupielādētos failus, $_COOKIE sīkdatnes un $_SERVER ziņas par pieprasījumu un serveri. PHP šos masīvus izveido, pirms sākas jūsu lietojumprogrammas kods. Tāpēc ievainojamības tieši šajā apstrādē, kā PHP2Shell gadījumā, nevar notvert ar pārbaudēm lietojumprogrammā.

Kas ir superglobālie mainīgie?

PHP mainīgais parasti ir spēkā tikai funkcijā, kurā tas izveidots. Superglobālie mainīgie ir izņēmums: tie ir pieejami katrā darbības apgabalā, nav jāņem ar global. PHP rokasgrāmata min deviņus no tiem.

Netehniķiem to var aprakstīt šādi: superglobālie mainīgie ir lietojumprogrammas pastkastīte. Viss, ko apmeklētājs sūta, nonāk tur, pirms lietojumprogramma to nolasa. Un viss pastkastītē potenciāli nāk no svešinieka.

Superglobālie mainīgie pārskatā

Īpaši salts ir $_SERVER. Saskaņā ar rokasgrāmatu PHP katrai pieprasījuma galvenei izveido ierakstu ar HTTP_ sākumā, piemēram, HTTP_USER_AGENT. Šīs vērtības iestata pats klients. Arī SERVER_NAME saskaņā ar rokasgrāmatu var saturēt klienta piegādāto saimniekdatora nosaukumu un drošības lēmumiem nav uzticams.

Kā PHP aizpilda superglobālos mainīgos

Pirms tiek izpildīta jūsu skripta pirmā rakstzīme, PHP jau ir strādājis. Tas nolasa adresi, galvenes un pieprasījuma saturu, sadala tos un rezultātus ievieto masīvos. Šo soli vada vairāki iestatījumi:

1. variables_order (noklusējums EGPCS) nosaka, kuri superglobālie mainīgie vispār tiek izveidoti: Environment, GET, POST, Cookie, Server.
2. request_order (noklusējums tukšs) nosaka, no kā tiek veidots $_REQUEST. Ja tas ir tukšs, ir spēkā variables_order. Komplektā iekļautie php.ini faili sīkdatnes saskaņā ar rokasgrāmatu drošības nolūkos izlaiž.
3. max_input_vars (noklusējums 1000) un max_input_nesting_level (noklusējums 64) ierobežo ievades mainīgo skaitu un ligzdošanu.
4. post_max_size (noklusējums 8M) ierobežo pieprasījuma saturu. Ja pieprasījums ir lielāks, $_POST un $_FILES paliek tukši.
5. enable_post_data_reading (noklusējums ieslēgts) nosaka, vai PHP POST pieprasījumu saturu vispār apstrādā automātiski.

Ja enable_post_data_reading ir izslēgts, lietojumprogramma neapstrādāto saturu nolasa pati caur php://input. Kopš PHP 8.4.0 papildus ir request_parse_body(), kas veidlapu un augšupielādes datus apstrādā arī citām metodēm, ne tikai POST, un atļauj savas robežvērtības. Kā augšupielādes daļa norit detalizēti, izskaidro lapa Kā PHP apstrādā failu augšupielādes.

Droša rīcība ar pieprasījuma datiem

Pamatprincips ir vienkāršs: katra vērtība no $_GET, $_POST, $_COOKIE, $_FILES un $_SERVER HTTP_ ierakstiem ir sveša ievade. Tā tiek pārbaudīta pieņemšanas brīdī un izvadē atbilstoši maskēta.

<?php
declare(strict_types=1);

// Sagaidāms vesels skaitlis: pārbaudīt, nevis akli pārveidot
$seite = filter_var($_GET['seite'] ?? '1', FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 1, 'max_range' => 500],
]);
if ($seite === false) {
    http_response_code(400);
    exit('Ungültige Seitenzahl');
}

// Atļaut tikai pieļaujamās vērtības
$sortierung = in_array($_GET['sort'] ?? '', ['name', 'datum'], true)
    ? $_GET['sort']
    : 'datum';

// Izvadi vienmēr maskēt
echo htmlspecialchars($_POST['kommentar'] ?? '', ENT_QUOTES, 'UTF-8');

Bieži šķērslis ir norādes par pieprasījuma izcelsmi. Ja pirms tīmekļa servera atrodas reverse proxy, slodzes līdzsvarotājs vai CDN, $_SERVER['REMOTE_ADDR'] satur šī starpnieka adresi, nevis apmeklētāja adresi. Īstā adrese tad atrodas galvenē, piemēram, X-Forwarded-For, ko tomēr katrs klients var iestatīt pats. Lietojumprogramma šādas galvenes drīkst izvērtēt tikai tad, ja pieprasījums pierādāmi nāk no sava, zināma starpniekservera. Citādi bloķēšanu pēc IP adreses vai protokolus var viegli maldināt. Līdzīgi ir ar HTTPS: ja šifrēšana beidzas starpniekserverī, lietojumprogrammai skaidri jāzina, ka sākotnējais savienojums bija šifrēts.

Citus validācijas un filtrēšanas paraugus rāda raksts Ievades validācija un filtrēšana PHP. Sesijas datiem $_SESSION ir spēkā savi noteikumi; tie atrodami lapā Sesijas un sīkdatnes PHP.

Superglobālie mainīgie un PHP2Shell: kas notiek pirms jūsu koda

Šeit ir saikne ar pašreizējo situāciju. CVE-2026-109618 apraksta, ka Out-of-Memory stāvoklis var pārtraukt PHP brīdī, kad pieprasījuma dati ir inicializēti tikai daļēji; pieprasījuma sakopšanas laikā nederīgi dati tad var tikt uzskatīti par derīgiem. CVE-2026-109619 gadījumā pieprasījuma iekšējais stāvoklis pēc atmiņas atbrīvošanas var saglabāties un to var izmantot vēlāks pieprasījums tajā pašā darbprocesā (worker).

Abas ievainojamības tātad atrodas apstrādē, ko PHP pats veic ap pieprasījumu, nevis lietojumprogrammas kodā. PHP komanda risku mod_php gadījumā vērtē visaugstāk; tur exploit tika demonstrēts, vēl pirms tiek izpildīts lietojumprogrammas kods. Neviens filter_var() un neviena pārbaude lietojumprogrammā to nevar novērst.

Kā PHP SOS palīdz konkrēti?

• Mēs katrai vietnei pārbaudām spēkā esošās pieprasījuma datu robežvērtības un iestatām tās atbilstoši lietojumprogrammai.
• Mēs ieviešam PHP atjauninājumu, pārstartējam visus darbprocesus un ielāpu stāvokli pierādām mūsu PHP ielāpošanas pakalpojuma ietvaros.
• Mēs paštaisītus risinājumus pārbaudām uz to, vai vērtības no superglobālajiem mainīgajiem bez pārbaudes nonāk datubāzē, failu sistēmā vai izvadē.
• Mēs nodrošinām tīmekļa servera žurnālus no 2026. gada 20. oktobra, lai vēlāka izvērtēšana paliktu iespējama.

Biežāk uzdotie jautājumi

Avoti

• PHP rokasgrāmata: superglobālie mainīgie
• PHP rokasgrāmata: $_SERVER
• PHP rokasgrāmata: php.ini direktīvas
• PHP rokasgrāmata: request_parse_body