PHP Misconfiguration: register_globals Enabled

若配置 PHP 為所有的 Environment、GET、POST、cookie 和 Server 變數進行註冊，會導致非預期的運作方式，開啟攻擊者可進入的大門。

如果啟用 register_globals 選項，會造成 PHP 對所有的 EGPCS (Environment、GET、POST、Cookie 和 Server) 變數進行全域註冊，使得任何使用者在任何 PHP 程式中都可存取這些變數。如果程式設計師在撰寫程式時啟用此選項，或多或少都會導致察覺不到它們所依賴的原始值，這會導致在正常的環境中產生非預期的運作方式，使程式容易遭受惡意環境中的攻擊者攻擊。由於知道 register_globals 所隱含的安全問題，在 PHP 4.2.0 中該選項的預設為關閉，且在 PHP 6 中捨棄且移除該選項。

範例 1：以下程式碼易受 Cross-site scripting 的攻擊。程式設計師假設 $username 的值來自伺服器控制的階段作業，但是攻擊者可能會為 $username 提供惡意值來取代要求參數。如果啟用 register_globals，此程式碼會在其所產生的動態 HTML 內容中包含由攻擊者傳遞的惡意值。

<?php
if (isset($username)) {
    echo "Hello <b>$username</b>";
} else {
    echo "Hello <b>Guest</b><br />";
    echo "Would you like to login?";

}
?>