php $POST 动态变量名安全问题

Question

我正在考虑创建一个循环来收集所有 $_POST 变量并将它们分配给动态命名的变量。类似这样的内容(未测试)

 for($i; $i <= $_POST[].length; $i++){
  ${$_POST[i]} = $_POST[i]
  }

但我想知道这样的东西的安全性。然后，这将在系统中为发送到页面的每一位发布数据创建一个变量。即使我编写的脚本没有引用该变量，它也会造成损害吗？这是我应该完全避免的事情吗？我有一些页面发送了相当多的变量，这样的脚本会阻止大量的写入，但是它足够安全吗？

Answer 1

是的，可能存在安全风险。

假设您在代码中前面定义了一个变量$is_admin，该变量赋予某人管理能力。如果有人在该页面上发帖

$_POST['is_admin'] = true;

那么 $is_admin 现在为 true。不好。

使用$_POST有什么问题？