PHP7.1 使用 extract 读取请求数组，变量覆盖漏洞风险该怎么规避-php教程-PHP中文网

extract() 默认覆盖变量，php 7.1 仍用 extr_overwrite，易致 $is_admin 等关键变量被恶意覆盖；应显式指定 extr_skip 或 extr_if_exists，最优解是白名单+filter_input() 显式赋值。

php7.1 使用 extract 读取请求数组，变量覆盖漏洞风险该怎么规避

extract() 默认行为就是覆盖，不设 flags 就等于开后门

PHP 7.1 中 extract() 仍默认使用 EXTR_OVERWRITE，只要数组里有和已有变量同名的键，就会直接覆盖。比如代码里已有 $is_admin = false，而用户 POST 了 is_admin=1，extract($_POST) 之后这个变量就变成 true 了——验证逻辑瞬间失效。

必须显式指定 extract_type，优先用 EXTR_SKIP 或 EXTR_IF_EXISTS

别依赖默认值，也别用 EXTR_OVERWRITE。真实项目中应始终传入第二个参数：

EXTR_SKIP：遇到已存在变量直接跳过，最保守，适合大多数表单处理场景
EXTR_IF_EXISTS：只导入当前作用域中已存在的变量名（反向思维，慎用）
绝对避免裸调用 extract($_POST) 或 extract($_GET)

示例：extract($_POST, EXTR_SKIP) —— 这样即使攻击者传 pass=xxx&thepassword_123=xxx，也不会覆盖服务端预定义的 $thepassword_123。

更安全的做法：白名单 + 显式赋值，绕过 extract

extract 的本质风险在于“自动映射”，而业务逻辑通常只需要几个固定字段。与其冒险过滤，不如放弃自动导入：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

用白名单明确声明要接收的键：$allowed = ['username', 'email', 'age'];
手动提取：$username = $_POST['username'] ?? ''; 或 $data = array_intersect_key($_POST, array_flip($allowed));
配合 filter_input() 做类型校验，比如 filter_input(INPUT_POST, 'age', FILTER_VALIDATE_INT)

这样既杜绝覆盖，又天然防御类型混淆、空字节注入等衍生问题。

注意 extract 的第三个参数 prefix 不解决根本问题

加 prefix（如 extract($_POST, EXTR_OVERWRITE, 'req_')）只是把所有变量名加上前缀，生成 $req_username 这类变量。但它不阻止你后续再写 $username = $req_username; —— 覆盖风险只是延后，没消失。而且 prefix 容易漏写、难维护，实际项目中几乎没人靠它防漏洞。

真正容易被忽略的是：哪怕你用了 EXTR_SKIP，如果前面有 $$、parse_str() 或未校验的 $_REQUEST 合并操作，覆盖链依然可能成立。变量覆盖从来不是单点问题，而是上下文里的信任边界是否被反复击穿。