php - 在 "security"代码拧紧后重置发布数据

Question

我继承了一个古老而复杂的系统，该系统会及时更换，但现在我有一个主要问题。

(加密的，耶!)初始化代码中的某处是与 GPC 变量混在一起的代码，应用诸如 addslashes 和 htmlspecialchars 之类的东西而不考虑任何类型的上下文.你知道的，绝对是小蛋糕会做的那种事情。不是您期望从有点昂贵的 PHP 软件中得到的东西。

不管怎么说，有什么方法可以强制 PHP 重新读取请求的 POST 数据并从中重新填充 $_POST 吗？我已经尝试了 goto go-to 方法 file_get_contents("php://input"); 但返回空白 - 大概是init 代码读取它，因为在旧版本的 PHP 中它只能读取一次......是的，不要去那里。

有什么想法吗？

Answer 1

不幸的是，不是，但您始终可以在此初始化代码运行之前创建您自己的超全局变量的不可变副本以自行构建此功能。

示例:

class Superglobals
{
    private $globals;

    public static $singleton;

    public function __construct($globals)
    {
        $this->globals = $globals;
    }

    public function getOriginalValues($key)
    {
        return $this->globals[$key];
    }

    public static function init()
    {
        self::$singleton = new self($GLOBALS);
    }
    public static function restore()
    {
        foreach (['_GET','_POST','_COOKIE','_REQUEST','_SERVER','_ENV'] as $key) {
            $GLOBALS[$key] = self::$singleton->getOriginalValues($key);
        }
    }
}

// at the very beginning:
Superglobals::init();

// anywhere later:
Superglobals::restore();