<?php /* protectme.php */
function authorize_user($authuser, $authpass)
{
$username = $_POST['username'];
$password = $_POST['password'];
// 检查用户名和口令
if ($username != $authuser or $password != $authpass):
?>
<!-- 未授权的用户将在这里给予提示 -->
<p>Please enter your username and password:</p>
<form action="<?=$PHP_SELF?>" method="POST">
<p>Username: <input type="text" /><br />
Password: <input type="password" /><br />
<input type="submit" /></p>
</form>
<?php
exit();
endif;
}
?>
现在，我们刚才的页面看上去将是这样的：
复制代码 代码如下:
<?php
require('protectme.php');
authorize_user('kevin','secret');
?>
<!-- 有安全要求的HTML内容 -->
很简单，很清晰明了，对不对？现在是考验你的眼力和经验的时候了 -- 在authorize_user 函数中少了什么？
在函数中没有申明$_POST是一个全局变量！在php 4.0中，当register_globals开启时，你需要增加一行代码以在函数中获取$username和$password变量：
function authorize_user($authuser, $authpass)
{
global $username, $password;
...
在PHP中，和其它具有类似语法的语言不同，函数外的变量在函数中不能自动获得，你需要象上面所说明的那样增加一行以指定其来自global范围。
在PHP 4.0中，当关闭register_globals以提供安全性时，你可以使用$HTTP_POST_VARS数组以获得你的表单提交的值，但是你还是需要从全局范围导入这个数组：
function authorize_user($authuser, $authpass)
{
global $HTTP_POST_VARS;
$username = $HTTP_POST_VARS['username'];
$password = $HTTP_POST_VARS['password'];
但是在PHP 4.1及以后的版本中，特殊的$_POST变量(以及上面提到的其它变量)可以在所有范围内使用。这就是不需要在函数中申明$_POST变量是一个全局变量的原因：
function authorize_user($authuser, $authpass)
{
$username = $_POST['username'];
$password = $_POST['password'];
这对session有什么影响？
特殊的$_SESSION数组的引入实际上有助于简化session代码。你不需要将session变量申明为全局变量，然后再去留意哪些变量被注册了，你现在可以简单地从$_SESSION['varname']中引用你所有的session变量。
现在让我们来看看另一个用户认证的例子。这一次，我们使用sessions以标志一个在你的网站继续逗留的用户已经经过了用户认证。首先，我们来看看PHP 4.0版本(开启register_globals)：
复制代码 代码如下:
<?php
session_start();
if ($username == 'kevin' and $password == 'secret')
{
$authorized = true;
session_register('authorized');
}
?>
<?php if (!$authorized): ?>
<!-- 显示HTML表单以提示用户登录 -->
<?php else: ?>
<!-- 有安全要求的HTML内容 -->
<?php endif; ?>
和刚开始的程序一样，这个程序也存在安全漏洞，在URL的最后加上?authorized=1可以绕过安全措施直接访问页面内容。开发者可以将$authorized视为一个session变量而忽视了可以很容易地通过用户输入设置同样的变量。
当我们增加了我们的特殊的数组(PHP 4.1)并关闭register_globals(PHP 4.2)后，我们的程序将是这样的：
复制代码 代码如下: