全局变量覆盖漏洞是指攻击者利用程序中对变量来源校验不严格的缺陷，将外部输入数据覆盖掉脚本内部已定义的变量，从而改变程序执行逻辑。这类问题多出现在开启全局变量注册或使用动态变量名的代码中，是网站安全中较常见的风险点。
全局变量覆盖漏洞是怎么产生的
在早期的 PHP 配置中，register_globals 开启后会将 GET、POST、COOKIE 等参数自动转为全局变量。如果开发者在代码中直接使用这些变量名，且未做初始化，攻击者就能通过构造请求覆盖原本的变量。即便关闭了该选项，使用 extract 或可变变量写法也可能引入同样问题。
修复方式一：关闭并禁用全局变量注册
最直接的方法是确认服务端配置，将 register_globals 设为 Off，并在代码中避免使用 extract 处理用户输入。对于必须批量赋值的场景，应明确指定允许提取的变量列表。
配置检查示例
- 查看 php.ini 中 register_globals 的值
- 搜索代码中是否存在 extract($_GET) 之类调用
- 使用静态扫描工具排查可变变量用法
修复方式二：对输入做严格校验与初始化
所有来自用户的参数都应视为不可信。在脚本开头先初始化关键变量，再依据白名单接收外部值，可有效防止被覆盖。
| 变量类型 | 处理方式 |
|---|---|
| 身份标识 | 从会话中取，禁止从请求覆盖 |
| 配置开关 | 仅允许固定枚举值 |
| 用户输入 | 过滤并类型转换 |
修复方式三：使用白名单限制变量名
当需要根据参数动态设置变量时，应先判断参数名是否在预设的白名单内。不在名单中的键直接忽略，从根源切断覆盖路径。
安全原则：内部变量永远不直接信任外部同名输入，先定义再赋值。
代码层面的修改建议
建议统一通过过滤函数获取输入，例如封装一个安全请求方法，禁止直接引用 $_GET 或 $_POST 覆盖本地变量。同时开启错误日志，监控异常变量赋值行为，定期复查核心文件改动记录。
日常维护要点
- 定期更新框架与依赖库
- 对管理员入口增加二次验证
- 备份关键代码以便快速回滚
通过上述措施，网站可以大幅降低全局变量覆盖带来的安全隐患，保障业务稳定运行。