在Drupal中使用“全局”用户是否危险？

Question

我总是听到使用全局变量是危险的。这是否适用于Drupal？看看下面的例子：

function myFunction($bla) { 
    global $user; 
    if (isAuthenticated($user->uid)) { 
     print $secretCode; 
    } 

} 

这可以被黑客入侵吗？

Answer 1

全局变量可能是危险的原因有很多，其中一些包括：

1. 杂波命名空间
2. 这使得维修困难，并鼓励的monkeypatching，全局变量可以在任何地方
3. 他们是被修改不透明
4. 在内存管理语言中，全局变量可能成为内存泄漏的源
5. 它们使调试尤其是不同在大型应用程序/站点上很难，因为可能很难找到它们被设置和修改的位置。

没有什么特别的威胁有关你的使用情况。应该没问题。如果你很害怕，你可以确保用户$> uid是评估前的整数

function myFunction($bla) { 
    global $user; 
    if(is_int($user->uid)){ 
     if (isAuthenticated($user->uid)) { 
     print $secretCode; 
     } 
    } 
} 

但是这可能是不必要的。

Answer 2

号如果您使用了session_register，这是可能的SQL注入。由于这是一个古老的方法，所以在PHP 4中。尽管如此，许多人仍然在使用它。