Problemas register_globals (on/off)

[julianac]

Hola .
Tengo una aplicacion en php y me pasa lo siguiente:

- COn register_globals = off utilizo una variable $_SERVER['idusuario']=juan la cual
atraves de url http://midominio/miaplicacion/mipagina.php?_SERVER['idusuario'] =pepe puedo modificar¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡¡....cuando esto no debria poder ocurrir ¿no?
Sin embargo ...
- Con register_globals = on esto no me pasa

Alguien podria explicarme como para este tipo de variables $_SERVER['var'] podria evitar este mal funcionamiento?

[Cluster]

No entendí bien ..

para que usas $_SERVER? .. eso es un array que contiene ciertas variabels de servidor y cada indice es un valor de este ..

Tu deberías usar $_GET si el dato lo esperas por el URL .. o $_POST si te llega de un formulario (en method POST) .. o si usas sesiones $_SESSION .. o cookies $_COOKIE ..

Realmente deberías poner el código que usas y detallar el URL concreto que usas para "suplantar" alguna variable.

Un saludo,

[julianac]

He probado a usar $_SESSION[REMOTE_USER] por ejemplo que indica que mi usuario esta logado o como te decia $_SERVER[idusuario] y atraves de url
http://midominio/miaplicacion/mipagina.php?_SERVER['idusuario']=pepe o
http://midominio/miaplicacion/mipagina.php?_SESSION[REMOTE_USER]=pepe puedo hacer que tomen el valor que les paso por parametro en la url; ya que cuando en mi script pregunto por $_SESSION[REMOTE_USER] o por $_SERVER[idusuario] toman el valor "pepe" y eso es precisamente lo que quiero evitar por que realmente no es ese su valor.

Gracias por contestar
saludos

[Cluster]

Sigo sin entender tus pruebas ..

REMOTE_USER sólo lo puedes acceder por el array superglobal: $_SERVER .. o en su defecto por $HTTP_SERVER_VARS o de forma global (si usas register_globals a OFF) $REMOTE_USER

Aclara bien eso .. y sobre todo pon el código que usas .. por qué:
1) Tu cambio de register_globals a OFF no se completó con exito (no reiniciastes tu servidor por ejemplo y sigue a ON)
2) No estás usando $_SESSION para recoger el valor de tus variables de sesión .. o no usas session_start() antes .. o estás haciendo alguna asignación anterior a esa variable o similar.

Un saludo,

[julianac]

Iniciado por Cluster

Sigo sin entender tus pruebas ..

REMOTE_USER sólo lo puedes acceder por el array superglobal: $_SERVER .. o en su defecto por $HTTP_SERVER_VARS o de forma global (si usas register_globals a OFF) $REMOTE_USER

Aclara bien eso .. y sobre todo pon el código que usas .. por qué:
1) Tu cambio de register_globals a OFF no se completó con exito (no reiniciastes tu servidor por ejemplo y sigue a ON)
2) No estás usando $_SESSION para recoger el valor de tus variables de sesión .. o no usas session_start() antes .. o estás haciendo alguna asignación anterior a esa variable o similar.

Un saludo,

Hola que tal .
Te cuento se que es un poco raro pero haber si consigo explicarme .

Tengo register_globals = Off ya reinicie el servidor
Necesito utilizar alguna de estas variables que me vienen en:
HTTP Headers Information
Nombre Variable : uid

Apache Environment
Nombre Variable : HTTP_UID
Nombre Variable : REMOTE_USER

PHP Variables
Nombre Variable : _SERVER["HTTP_UID"]
Nombre Variable : _SERVER["REMOTE_USER"]

Estas variables no las establezco yo (tampoco utilizo session_start() ) si no que las establece otro programa que se encarga de validar al usuario y una vez esta validado este programa establece todas esas variables comentadas anteriormente.

La parte de codigo que utiliza alguna de estas variables (en concreto estoy utilizando _SERVER["HTTP_UID"]) es:
if (empty($_SERVER["HTTP_UID"]))
{
Si esta variable viene vacia es que no esta logado.
}
else
{
$userid = $_SERVER['HTTP_UID'];
///El usuario esta logado

}
...y lo que pasa es que si me mendan por url el parametro ?_SERVER[HTTP_UID]=pepe ,la cago.....por que coge el valor del parametro de la url.
Espero haberte aclarado mi problema .
Por cierto como podria recuperar estas variables ya que al venir por Http header y Apache Enviroment no se como recogerlas (lo cierto es que al ejecutar la funcion phpinfo() se me muestran el nombre de la variable y su valor):
HTTP Headers Information
Nombre Variable : uid <-----

Apache Environment
Nombre Variable : HTTP_UID <----
Nombre Variable : REMOTE_USER <---

Saludos
Gracias

[Cluster]

Pues no entiendo por qué si haces ?_SERVER[HTTP_UID]=pepe sucede lo que mencionas ..

Estoy seguro y comprobado que si usas otros arrays superglobales tipo $_POST, $_SESSION .. etc no sucede esa "suplantación" de varaibles por un método que no corresponda.

Las variables del "HTTP header y envioremt" las tomas por el array $_SERVER igualmente o bien por getenv() que viene a ser lo mismo. (como ya lo haces)

Un saludo,

[julianac]

Creo que utilire la funciona getenv como me comentas.

Gracias por el interes mostrado.
Saludos