PHP7.4中如何防止全局变量被意外覆盖

可以明确告诉你：PHP 7.4虽然已经彻底移除了register_globals，但变量覆盖漏洞可没跟着消失。问题的根源，仍然在extract()、parse_str()以及手动的赋值逻辑上。

直接结论：PHP 7.4 已彻底移除 register_globals，但变量覆盖漏洞仍存在，根源在 extract()、parse_str() 和手动赋值逻辑

首先得明确一点：PHP 7.4 不再支持 register_globals（这个配置早在 PHP 5.4 就被废弃，5.6+ 就已经完全删除了）。所以，你不用担心因为 ini 设置错误，导致“自动注册 GET/POST 变量为全局”。但问题在于，开发者自己写的代码，依然可能触发覆盖——比如用 extract($_GET) 把用户输入直接变成变量，或者在循环中反复用 = 覆盖同名变量。

extract() 是最常被忽略的覆盖入口，必须加白名单或禁用

extract() 绝对是个高危操作，很多开发者都在它身上栽过跟头。它会把数组的键名直接转为变量名并赋值，攻击者可以借此轻松覆盖已有变量——比如 $flag、$is_admin 这类关键变量。

• 默认行为极其危险：extract($_GET) 允许你传个 ?user_id=123&is_admin=1，就能直接覆盖 $is_admin 的值。
• 千万别用 EXTR_OVERWRITE（默认模式），它会无条件覆盖所有变量。
• 必须显式指定白名单：extract($_GET, EXTR_IF_EXISTS, ['user_id', 'page', 'sort'])，这样只有白名单里的变量才会被处理。
• 更安全的做法，是彻底不用 extract()，改为显式赋值：$user_id = $_GET['user_id'] ?? null;，清晰明了。
• 如果必须批量处理，可以先过滤键名：$allowed = array_intersect_key($_GET, array_flip(['user_id', 'page'])); extract($allowed);，这样能确保只有你想用的变量被提取出来。

循环内字符串累积时，= 和 .= 的区别决定是否覆盖

这个错误相当常见，尤其是在循环里用 = 赋值，结果只保留了最后一次循环的结果：

• 错误写法：$out = "$key: $value"; → 每次循环都重置 $out，最终只剩最后一项。
• 正确写法：$out .= "$key: $value\n"; → 累积拼接，但前提是你要先初始化 $out = '';。
• 更健壮的做法是避免全局拼接，改用数组收集，最后用 implode() 合并：$lines[] = "$key: $value"; echo implode("\n", $lines);，这样既安全又高效。
• 特别注意：如果 $out 在函数外定义，又在函数内用 global $out 修改，那又回到了全局变量污染的老路。正确的做法是参数传入 + 返回值输出。

类属性和常量要靠可见性与类型约束防覆盖，而非信任命名

PHP 7.4 支持带类型和可见性的属性声明，这是防意外覆盖的底层防线，比单纯依赖命名规范要靠谱得多：

• 用 private 或 protected 替代 public 属性，从根本上阻止外部直接赋值：private string $token;
• 常量必须用 public const，且不可修改：public const API_TIMEOUT = 30;（define() 是全局的、无命名空间、不支持类型，已经基本淘汰了）。
• 类内部也不应裸写 $this->token = $_GET['t'];，而应走 setter 并校验：public function setToken(string $t): void { if (ctype_alnum($t)) $this->token = $t; }，这样能确保数据安全。
• 静态属性若需共享状态，优先用 private static + 静态方法控制，而不是依赖全局变量。

必须警惕的是，真正难防的不是语法限制，而是开发者在“图省事”时，绕过类型检查、跳过白名单、滥用 extract()，或者在闭包里隐式捕获并修改父作用域变量——这些行为在 PHP 7.4 下依然有效，也依然危险。