标签：
给出一个包含有指向一个文件的全路径的字符串，本函数返回去掉文件名后的目录名。
在 Windows 中，斜线（/）和反斜线（\）都可以用作目录分隔符。在其它环境下是斜线（/）。
注: 在 PHP 4.0.3 中，dirname() 被修正为 POSIX 兼容。本质上就意味着如果在 path 中没有斜线，则返回一个点（‘.‘），表示当前目录。否则返回的是把 path 中结尾的 /component（最后一个斜线以及后面部分）去掉之后的字符串。注意这意味着在老的函数返回一个空字符串的情形下你通常从 dirname() 得到的是斜线或者一个点。
dirname() 从 PHP 4.3.0 开始有所改变 请看以下例子：
dirname() 的操作从 PHP 5.0.0 版开始是二进制安全的。
在本例中，我们将把字符串分割为数组：
<?php
$str = "Hello world. It‘s a beautiful day.";
print_r (explode(" ",$str));
?>
输出：
Array ( [0] => Hello [1] => world. [2] => It‘s [3] => a [4] => beautiful [5] => day. )
3.$_SERVER[‘SCRIPT_NAME‘]
/test.php/123456的话
$_SERVER[‘SCRIPT_NAME‘]结果是/test.php
4. __FILE__ :被称为PHP魔术常量,返回当前执行PHP脚本的完整路径和文件名,包含一个绝对路径
当 register_globals 打开以后，各种变量都被注入代码，例如来自 HTML 表单的请求变量。再加上 PHP 在使用变量之前是无需进行初始化的，这就使得更容易写出不安全的代码。这是个很艰难的抉择，但 PHP 社区还是决定默认关闭此选项。当打开时，人们使用变量时确实不知道变量是哪里来的，只能想当然。但是 register_globals 的关闭改变了这种代码内部变量和客户端发送的变量混杂在一起的糟糕情况。下面举一个错误使用 register_globals 的例子：
Example #1 错误使用 register_globals = on 的例子
<?php
// 当用户合法的时候，赋值 $authorized = true
if (authenticated_user()) {
$authorized = true;
}
// 由于并没有事先把 $authorized 初始化为 false，
// 当 register_globals 打开时，可能通过GET auth.php?authorized=1 来定义该变量值
// 所以任何人都可以绕过身份验证
if ($authorized) {
include "/highly/sensitive/data.php";
}
?>当 register_globals = on 的时候，上面的代码就会有危险了。如果是 off，$authorized 就不能通过如 URL 请求等方式来改变，这样就好多了，尽管初始化变量是一个良好的编程习惯。比如说，如果在上面的代码执行之前加入$authorized = false 的话，无论 register_globals 是 on 还是 off 都可以，因为用户状态被初始化为未经认证。
另一个例子是关于会话的。当 register_globals = on 的时候，$username 也可以用在下面的代码中，但要意识到$username 也可能会从其它途径进来，比如说通过 URL 的 GET。
Example #2 使用会话时同时兼容 register_globals on 和 off 的例子
<?php
// 我们不知道 $username 的来源，但很清楚 $_SESSION 是
// 来源于会话数据
if (isset($_SESSION[‘username‘])) {
echo "Hello <b>{$_SESSION[‘username‘]}</b>";
} else {
echo "Hello <b>Guest</b><br />";
echo "Would you like to login?";
}
?>采取相应的预防措施以便在伪造变量输入的时候给予警告是完全有可能的。如果事先确切知道变量是哪里来的，就可以检查所提交的数据是否是从不正当的表单提交而来。不过这不能保证变量未被伪造，这需要攻击者去猜测应该怎样去伪造。如果不在乎请求数据来源的话，可以使用 $_REQUEST 数组，它包括了 GET、POST 和 COOKIE 的所有数据。详情可参见本手册的来自 PHP 之外的变量。
Example #3 探测有害变量
<?php
if (isset($_COOKIE[‘MAGIC_COOKIE‘])) {
// MAGIC_COOKIE 来自 cookie
// 这样做是确保是来自 cookie 的数据
} elseif (isset($_GET[‘MAGIC_COOKIE‘]) || isset($_POST[‘MAGIC_COOKIE‘])) {
mail("admin@example.com", "Possible breakin attempt", $_SERVER[‘REMOTE_ADDR‘]);
echo "Security violation, admin has been alerted.";
exit;
} else {
// 这一次请求中并没有设置 MAGIC_COOKIE 变量
}
?>当然，单纯地关闭 register_globals 并不代表所有的代码都安全了。对于每一段提交上来的数据，都要对其进行具体的检查。永远要验证用户数据和对变量进行初始化！把 error_reporting() 设为 E_NOTICE 级别可以检查未初始化的变量。
更多关于模拟 register_globals 为 on 或 off 的信息，请见此 FAQ。
标签：
原文地址：http://www.cnblogs.com/laojie4321/p/4187688.html
