如果啟用 register_globals 選項，會造成 PHP 對所有的 EGPCS (Environment、GET、POST、Cookie 和 Server) 變數進行全域註冊，使得任何使用者在任何 PHP 程式中都可存取這些變數。如果程式設計師在撰寫程式時啟用此選項，或多或少都會導致察覺不到它們所依賴的原始值，這會導致在正常的環境中產生非預期的運作方式，使程式容易遭受惡意環境中的攻擊者攻擊。由於知道 register_globals 所隱含的安全問題，在 PHP 4.2.0 中該選項的預設為關閉，且在 PHP 6 中捨棄且移除該選項。

範例 1：以下程式碼易受 Cross-site scripting 的攻擊。程式設計師假設 $username 的值來自伺服器控制的階段作業，但是攻擊者可能會為 $username 提供惡意值來取代要求參數。如果啟用 register_globals，此程式碼會在其所產生的動態 HTML 內容中包含由攻擊者傳遞的惡意值。

<?php
if (isset($username)) {
    echo "Hello <b>$username</b>";
} else {
    echo "Hello <b>Guest</b><br />";
    echo "Would you like to login?";

}
?>

函數若可覆寫已初始化的變數，則會讓攻擊者得以影響依賴已覆寫變數的程式碼執行。
可以覆寫變數。

範例 1：若攻擊者在以下 ColdFusion 程式碼區段中為 varName 提供惡意值，則呼叫 SetVariable() 時可能會覆寫包括 #first# 在內的任意變數。在此案例中，若包含 JavaScript 的惡意值覆寫 #first#，此程式會容易受到 Cross-Site Scripting 攻擊。

<cfset first = "User">
<cfscript>
SetVariable(url.varName, url.varValue);
</cfscript>
<cfoutput>
#first#
</cfoutput>

函數若可覆寫在目前範圍中初始化的變數，則也會讓攻擊者得以影響依賴已覆寫變數的程式碼執行。
範例 1：若攻擊者在以下 PHP 程式碼區段中為 str 提供惡意值，則呼叫 parse_str() 時可能會在目前範圍中覆寫包括 first 在內的任意變數。在此案例中，若包含 JavaScript 的惡意值覆寫 first，此程式會容易受到 Cross-Site Scripting 攻擊。

<?php
    $first="User";
    ...
    $str =  $_SERVER['QUERY_STRING'];
    parse_str($str);
    echo $first;
?>

函數若可覆寫已初始化的全域變數，則也會讓攻擊者得以影響依賴已覆寫變數的程式碼執行。
範例 1：若攻擊者在以下 PHP 程式碼區段中為 str 提供惡意值，則呼叫 mb_parse_str() 時可能會覆寫包括 first 在內的任意變數。在此案例中，若包含 JavaScript 的惡意值覆寫 first，此程式會容易受到 Cross-Site Scripting 攻擊。

<?php
    $first="User";
    ...
    $str =  $_SERVER['QUERY_STRING'];
    mb_parse_str($str);
    echo $first;
?>