Register_globals и как с ним бороться?

[Doglexx]

Здравствуйте!
Проблема достаточно тривиальна: у провайдера, по каким-то причинам стоит в настройках register_globals = on. Хочу закрывать одну из дыр в безопасности сайта.
В инете нашёл, что это можно сделать через .htaccess, но при попытке выключить регистрацию глобальных переменных, провайдер блокирует сайт.
Что делать?

[Яр]

Обратиться в техническую поддержку к провайдеру и обсудить с ними эту проблему.

[Doglexx]

Хм, немного поспешил я с вопросами т.к. думал, что пров откажет в этом вопросе. Перепишу, что мне ответили по этому вопросу, может кому-то будет полезно.

Для того, чтобы использовать свои настройки php, достаточно прописать
в .htaccess:
suPHP_ConfigPath /hsphere/local/home/accname
И положить по этому пути свой php.ini. accname - это имя вашего аккаунта.
php.ini используемый по умолчанию Вы можете взять по ссылке
http://<host>/php.ini
значение host Вы можете просмотреть в панели управления в разделе
"FTP/аккаунт пользователя" в строке "Имя хоста"
В подключенном php.ini можете задавать необходимый Вам значения

[commando]

ну это просто частный случай

[CrazySquirrel]

Хм, немного поспешил я с вопросами т.к. думал, что пров откажет в этом вопросе. Перепишу, что мне ответили по этому вопросу, может кому-то будет полезно.

смело с их стороны позволять использовать подобные настройки!

[coder_ak]

commando, это не частный случай, это одесская контора хостинг.уа и вся эта инфа находится у них же в факе )

[andreyka]

Да, оказывается в хостинг.уа - извращунцы

[Doglexx]

Да, оказывается в хостинг.уа - извращунцы

Я думаю, это с какой-то стороны правильный шаг, есть ещё много скриптов (в том числе и некоторые CMS), которые не становятся, если выключен register_globals. Так что им легче было включить его, чтобы избежать недовольства юзеров, а для тех, кому безопасность не безразлична - сделать ФАК описанный выше.

[Journeyman]

Не вижу необходимости в register_globals. Если скрипту нужна эта опция, то это говорит о качестве или устаревшести скрипта. Тут или его править, или на свалку истории. Это если есть беспокойство о качестве. Если просто поставить и забыть - то да, можно просто включить эту опцию.

[commando]

Все просто: если владельцы будут с умным видом объяснять юзерам, что их скрипт полное г и что нужно его менять - от них просто уйдут к более услужливым, которые скажут "у нас работает все, проходите загружайтесь" . Поэтому хостеры еще живут на 4 пхп...

[Journeyman]

commando, вобщем-то да, но есть нюансы. Этот registe_global вроде настройка не на хост, а вообще на mod_php (могу ошибаться). Жить на одном shared хостинге с потенциально дырявым сайтом может быть себе дороже (в случае mod_php). И напоследок согласно http://php.net/manual/en/security.globals.php:

This feature has been DEPRECATED as for PHP 5.3.0 and REMOVED as of PHP 6.0.0. Relying on this feature is higly discouraged.

Как обычно добавят какую-то штуку, а потом подумают, что она не нужна :-) Тем более хостеры ещё когда до 5.3 доберутся. Вобщем если покупать скрипт с таким требованием на долгую перспективу, то это кажется плохим приобретением.

[andreyka]

Как правило клиенты с кривыми перделками написанными криворукими программистами - самые проблемные

[commando]

именно перделками, согласен 100%