如果启用 register_globals 选项，会导致 PHP 对 EGPCS（Environment、GET、POST、Cookie 及 Server）变量进行全局注册，这样一来，任何用户在任何 PHP 程序中都将能访问这些变量。如果程序员在编写程序时启用此选项，或多或少都会导致程序察觉不到它们所依赖于的数值来源，这会导致运行正常的环境发生意外行为，使系统容易受到恶意环境中的攻击者发起的攻击。由于认识到 register_globals 所隐含的安全隐患，在 PHP 4.2.0 中默认禁用了该选项，而在 PHP 6 中弃用并删除了该选项。

示例 1：以下代码容易受到 cross-site scripting 攻击。程序员假定 $username 的值来源于由服务器控制的会话，但是攻击者可能会为 $username 提供一个恶意值来代替请求参数。如果启用 register_globals 选项，此代码会在它所生成的 HTML 内容中包含由攻击者提交的恶意值。

<?php
if (isset($username)) {
    echo "Hello <b>$username</b>";
} else {
    echo "Hello <b>Guest</b><br />";
    echo "Would you like to login?";

}
?>

对于可覆盖已初始化的变量的函数，攻击者能够通过它影响依赖被覆盖变量的代码的执行情况。
可以覆盖变量。

例 1：如果攻击者为下面这段 ColdFusion 代码中的 varName 提供恶意值，则对 SetVariable() 的调用可能会覆盖所有任意变量，包括 #first#。在这种情况下，如果包含 JavaScript 的恶意值覆盖 #first#，则该程序会很容易受到 cross-site scripting 攻击。

<cfset first = "User">
<cfscript>
SetVariable(url.varName, url.varValue);
</cfscript>
<cfoutput>
#first#
</cfoutput>

对于可覆盖当前作用域中已初始化的变量的函数，攻击者能够通过它影响依赖被覆盖变量的代码的执行情况。
示例 1：如果攻击者为下面这段 PHP 代码中的 str 提供恶意值，则对 parse_str() 的调用可能会覆盖当前作用域中的所有任意变量，包括 first。在这种情况下，如果包含 JavaScript 的恶意值覆盖 first，则该程序会很容易受到 cross-site scripting 攻击。

<?php
    $first="User";
    ...
    $str =  $_SERVER['QUERY_STRING'];
    parse_str($str);
    echo $first;
?>

对于可覆盖已初始化的全局变量的函数，攻击者能够通过它影响依赖被覆盖变量的代码的执行情况。
示例 1：如果攻击者为下面这段 PHP 代码中的 str 提供恶意值，则对 mb_parse_str() 的调用可能会覆盖所有任意变量，包括 first。在这种情况下，如果包含 JavaScript 的恶意值覆盖 first，则该程序会很容易受到 cross-site scripting 攻击。

<?php
    $first="User";
    ...
    $str =  $_SERVER['QUERY_STRING'];
    mb_parse_str($str);
    echo $first;
?>