前言
因爲之前參加過一個easy課程修書的小項目，我正好負責修改其中的PHP學習部分，所以這篇直接借用裏邊的案例再自己的總結整理一下，如有造成侵權和困擾請聯繫，我及時刪除
PHP代碼審計常見的超全局變量
$GLOBALS、$_SERVER、$_REQUEST、$_POST、
$_GET、$_FILES、$_ENV、$_COOKIE、$_SESSION
$GLOBALS
在一個PHP腳本的全部作用域中都可以訪問。$GLOBALS 是一個包含了全部變量的全局組合數組。變量的名字就是數組的鍵。
$_SERVER
是一個包含了諸如頭信息(header)、路徑(path)、以及腳本位置(script locations)等等信息的數組。這個數組中的項目由 Web 服務器創建。不能保證每個服務器都提供全部項目；服務器可能會忽略一些，或者提供一些沒有在這裏列舉出來的項目。
下表列出了所有$_SERVER 變量中的重要元素:
|
元素/代碼 |
描述 |
|
$_SERVER['PHP_SELF'] |
當前執行腳本的文件名，與 document root 有關。 |
|
$_SERVER['GATEWAY_INTERFACE'] |
服務器使用的 CGI 規範的版本；例如，"CGI/1.1"。 |
|
$_SERVER['SERVER_ADDR'] |
當前運行腳本所在的服務器的 IP 地址。 |
|
$_SERVER['SERVER_NAME'] |
當前運行腳本所在的服務器的主機名。如果腳本運行於虛擬主機中，該名稱是由那個虛擬主機所設置的值決定。 |
|
$_SERVER['SERVER_SOFTWARE'] |
服務器標識字符串，在響應請求時的頭信息中給出。 (如：Apache/2.2.24) |
|
$_SERVER['SERVER_PROTOCOL'] |
請求頁面時通信協議的名稱和版本。例如，"HTTP/1.0"。 |
|
$_SERVER['REQUEST_METHOD'] |
訪問頁面使用的請求方法；例如，"GET", "HEAD"，"POST"，"PUT"。 |
|
$_SERVER['REQUEST_TIME'] |
請求開始時的時間戳。從 PHP 5.1.0 起可用。 (如：1377687496) |
|
$_SERVER['QUERY_STRING'] |
query string（查詢字符串），如果有的話，通過它進行頁面訪問。 |
|
$_SERVER['HTTP_ACCEPT'] |
當前請求頭中 Accept: 項的內容，如果存在的話。 |
|
$_SERVER['HTTP_ACCEPT_CHARSET'] |
當前請求頭中 Accept-Charset: 項的內容，如果存在的話。例如："iso-8859-1,*,utf-8"。 |
|
$_SERVER['HTTP_HOST'] |
當前請求頭中 Host: 項的內容，如果存在的話。 |
|
$_SERVER['HTTP_REFERER'] |
引導用戶代理到當前頁的前一頁的地址（如果存在）。由 user agent 設置決定。並不是所有的用戶代理都會設置該項，有的還提供了修改 HTTP_REFERER 的功能。簡言之，該值並不可信。) |
|
$_SERVER['HTTPS'] |
如果腳本是通過 HTTPS 協議被訪問，則被設爲一個非空的值。 |
|
$_SERVER['REMOTE_ADDR'] |
瀏覽當前頁面的用戶的 IP 地址。 |
|
$_SERVER['REMOTE_HOST'] |
瀏覽當前頁面的用戶的主機名。DNS 反向解析不依賴於用戶的 REMOTE_ADDR。 |
|
$_SERVER['REMOTE_PORT'] |
用戶機器上連接到 Web 服務器所使用的端口號。 |
|
$_SERVER['SCRIPT_FILENAME'] |
當前執行腳本的絕對路徑。 |
|
$_SERVER['SERVER_ADMIN'] |
該值指明瞭 Apache 服務器配置文件中的 SERVER_ADMIN 參數。如果腳本運行在一個虛擬主機上，則該值是那個虛擬主機的值。 |
|
$_SERVER['SERVER_PORT'] |
Web 服務器使用的端口。默認值爲 "80"。如果使用 SSL 安全連接，則這個值爲用戶設置的 HTTP 端口。 |
|
$_SERVER['SERVER_SIGNATURE'] |
包含了服務器版本和虛擬主機名的字符串。 |
|
$_SERVER['PATH_TRANSLATED'] |
當前腳本所在文件系統（非文檔根目錄）的基本路徑。這是在服務器進行虛擬到真實路徑的映像後的結果。 |
|
$_SERVER['SCRIPT_NAME'] |
包含當前腳本的路徑。這在頁面需要指向自己時非常有用。__FILE__ 常量包含當前腳本(例如包含文件)的完整路徑和文件名。 |
|
$_SERVER['SCRIPT_URI'] |
URI 用來指定要訪問的頁面。例如 "/index.html"。 |
$_REQUEST
用於收集HTML表單提交的數據。我們可以使用超級全局變量 $_REQUEST 來收集表單中的 input 字段數據。
$_POST
被廣泛應用於收集表單數據，在HTML form標籤的指定該屬性："method="post"。然後，我們可以使用超級全局變量 $_POST 來收集表單中的 input 字段數據。跟$_REQUEST使用的感覺是差不多的。
$_GET
同樣被廣泛應用於收集表單數據，在HTML form標籤的指定該屬性"method="get"。
$_GET 也可以收集URL中發送的數據。舉個簡單的小示例。
$_FILES
