Les tableaux superglobaux

Les tableaux superglobaux (dits aussi autoglobaux) sont une nouveauté de PHP 4.2.0, les versions antérieures n'en possèdent pas.

De façon générale, une variable superglobale est automatiquement disponible dans tous les environnements d'exécution. Elle a donc une portée globale.

Un environnement d'exécution possède son propre espace de variables. Pour connaître une variable dans plusieurs environnements, il faut la déclarer à l'aide du mot réservé global.
Par exemple, une fonction ne connait pas les variables du script, pour y remédier, on déclare celles que l'on souhaite utiliser dans la fonction avec global.

Exemple :

function printLink($link) {
global $color;
echo "<a style=\"color:$color;\" href=\"$link\">Visitez $link !</a>";
}
$color = "yellow";
printLink("http://www.developpez.com")

Les tableaux superglobaux ne peuvent être utilisés qu'avec la version PHP 4.2.0 (et supérieures).

En pratique, une variable superglobale est simplement disponible dans tout contexte d'utilisation, que ce soit dans le script, dans une méthode de classe, dans une fonction… sans avoir à utiliser la directive global.

Il n'est pas possible (pour l'instant du moins) de créer soi-même des variables superglobales, on ne peut qu'utiliser celles déjà existantes comme définies dans la Liste des tableaux superglobaux.

Ces variables sont des tableaux associatifs. C'est-à-dire qu'à une clé est associée une valeur pouvant être un nombre, une chaîne de caractères, un tableau… Les clés de ces tableaux sont les noms des variables qu'ils référencent.

Exemple :

function printLink($link) {
echo "<a style=\"color:".$GLOBALS["color"].";\" href=\"$link\">Visitez $link !</a>";
}
$color = "yellow";
printLink("http://www.developpez.com")

Comme les tableaux superglobaux remplacent d'anciennes variables obsolètes, mais toujours présentes, ces dernières peuvent encore être utilisées. Dans ce cas, ne pas oublier la directive global.

Ces tableaux ne sont disponibles que sur les serveurs équipés de la version 4.2.0 et suivantes de PHP. Pour les versions antérieures, il faut utiliser les variables dites obsolètes du tableau suivant.

À noter que certaines variables peuvent être simultanément disponibles dans plusieurs tableaux superglobaux à la fois. Par exemple, le tableau $GLOBALS reprend chacune des variables disponibles dans tous les autres tableaux superblobaux. Autre exemple, un paramètre passé dans l'URL à un script sera référencé dans $_GET et dans $_REQUEST.

Ces variables sont référencées dans le tableau superglobal $_SERVER.

On a vu qu'à partir de PHP 4.2.0 les variables référencées dans les tableaux superglobaux ne sont accessibles que par l'intermédiaire de ces tableaux. Auparavant, les variables référencées pouvaient être accédées directement, via un global si nécessaire (dans les fonctions et méthodes).

Ce changement repose sur un paramétrage par défaut du fichier de configuration php.ini qui a été changé. Le paramètre register_global était à On, en PHP 4.2.0 il passe à Off par défaut. Mais il est toujours possible de le changer manuellement afin de revenir à la situation antérieure ou les variables référencées par ces tableaux superglobaux étaient directement accessibles.

<?php
 function afficher() {
  global $nom
  echo "Vous êtes ".$nom;
 }
 echo "$id, $nom";
 afficher();
?>

41, robert
Vous êtes robert

<?php
 function afficher() {
  echo "Vous êtes ".$_GET["nom"];
 }
 echo $_GET["id"].", ".$_GET["nom"];
 afficher();
?>

41, robert
Vous êtes robert

Pourquoi avoir introduit cette nouveauté dans PHP 4.2.0 ? Tout simplement pour des raisons de sécurité.

Non pas que PHP lui-même comporte des failles de sécurité (en fait si, mais ce n'est pas le sujet de cet article), mais les webdesigners qui programment en PHP ne font pas toujours suffisamment attention à ce qu'ils écrivent. Permettant ainsi aux internautes malveillants d'induire le script en erreur ou de lui faire faire des choses qui n'étaient pas prévues.

Voici un petit exemple, notre script script.php va inclure un fichier de configuration via une commande include() qui contient par exemple les informations nécessaires (login, mot de passe, nom de la base) pour se connecter à une base de données MySQL. Le nom de ce fichier est normalement passé en paramètre via un formulaire (méthode GET ou POST).

Script.php :

<?php
 include($config_file);
 ...
?>

Un petit malin pourrait avoir l'idée d'aller regarder le code source HTML de votre formulaire formulaire.php.

<form action="script.php" method="POST">
<input type="hidden" name="config_file" value="config_bd.php" />

Libre à lui, à partir de là, d'exécuter votre script d'arrivée sans passer par l'intermédiaire du formulaire, et en lui passant des paramètres en argument.

Adresse tapée dans le navigateur par le hacker :

script.php?config_file=/etc/passwd

Ainsi votre script a été détourné pour afficher le fichier de mot de passe du serveur ! Il connait maintenant tous les utilisateurs de votre système (les mots de passe sont généralement cryptés).

Les include() préfixés ou suffixés par une chaîne de caractères constante ne sont pas mieux lotis.

Dans l'exemple suivant, un chemin relatif permet la remontée dans le système de fichiers.

script.php?config_file=../../../etc/passwd
include("common/config/$config_file");

Dans l'exemple suivant, une chaîne de caractères terminée par le caractère spécial de fin de chaîne %00 dit à PHP d'ignorer le suffixe « inc ».

script.php?config_file=../../etc/passwd%00
include("myfiles/".$config_file."inc");

Comment remédier à ces attaques ? En étant plus rigoureux dans sa programmation ! L'exemple suivant montre une méthode sûre.

<?php
 $files = array{"config_db.php", "config_user.php", "config_forum.php"}
 if(in_array($config_file,$files)) {
  require($config_file);
 } else {
  echo "C'est pas beau de pirater les sites web !";
 }
?>

Dans cet exemple, on vérifie que le nom de fichier reçu par le script appartient à une liste prédéterminée, si tel est le cas, on l'inclut. Sinon, c'est qu'il y a un problème !

Il existe de nombreuses fonctions travaillant sur les fichiers qui sont susceptibles d'être détournées (inclusion, ouverture, exécution de fichier) : require(), include(), include_once(), require_once(), file(), readfile(), fpassthru(), exec(), fopen()…

Il est donc nécessaire d'être très vigilant lors de la programmation en PHP et de deviner quelles sont toutes les actions malveillantes susceptibles d'être exécutées à travers vos scripts. Il s'agit donc d'être particulièrement paranoïaque et de protéger toutes les variables en les vérifiant systématiquement.

D'ailleurs ce problème n'est pas réservé aux fichiers. Toutes les autres variables sont concernées. Ainsi les id de sessions peuvent être falsifiées, les id de message à supprimer d'un forum aussi…

Alors, au lieu de faire démesurément confiance aux variables créées automatiquement dans l'espace d'exécution (par global_register) à partir des paramètres passés au script, on utilise les tableaux globaux $HTTP_ENV_VARS, $HTTP_GET_VARS $HTTP_POST_VARS, $HTTP_COOKIE_VARS, $HTTP_SERVER_VARS et $HTTP_SESSION_VARS (créés automatiquement par la directive de configuration track_vars mise à On).

Ainsi, utiliser $HTTP_POST_VARS[« config_file »] permet de se prémunir contre les attaques précédentes.

Par contre cette relative sécurité peut être détournée par un hacker qui enregistre sur son ordinateur votre formulaire, en modifie le code pour changer le <input type=« hidden » name=« config_file » value=« config_bd.php » /> en <input type=« hidden » name=« config_file » value=« /etc/passwd%00 » /> et valider le formulaire pour vous pirater !

Depuis PHP 4.2.0 ces tableaux globaux sont devenus obsolètes. Et il faut alors utiliser les tableaux superglobaux.

VII-A. Tableaux superglobaux▲

VII-B. Sécurité▲