PHP register_globals 與 session.auto_start 安全配置：獨立伺服器與虛擬主機雙軌修復指南

風險背景

• register_globals = On：將 EGPCS (Environment/Get/Post/Cookie/Server) 變數自動註冊為全域變數。極其危險：攻擊者可覆蓋任何未初始化變數，導致權限繞過、SQL 注入、代碼執行。PHP 5.4 已移除。
• session.auto_start = 1：每請求自動啟動 Session。副作用：阻礙物件序列化、衝突自定義 Session 處理器、干擾 REST API/無狀態服務、增加不必要開銷。

場景一：獨立伺服器 / VPS / 雲主機 (有 php.ini 權限)

1. 編輯 php.ini (位置：php --ini 查看)：
   

   register_globals = Off
   session.auto_start = 0

2. 重啟 Web 服務：
   　　- Apache: systemctl restart httpd / apachectl -k restart
   　　- Nginx + PHP-FPM: systemctl restart php-fpm
   　　- IIS: iisreset
3. 驗證：php -i | grep -E "register_globals|session.auto_start" 或 phpinfo()。

場景二：虛擬主機 / 共享主機 (無 php.ini 權限)

方案 A：.user.ini (PHP 5.3+、CGI/FastCGI 模式)

在網站根目錄建立 .user.ini：

register_globals = Off
session.auto_start = 0

生效延遲：受 user_ini.cache_ttl 控制 (預設 300 秒)，修改後等待或重啟 PHP-FPM (若有權限)。

方案 B：.htaccess (Apache + mod_php)

php_flag register_globals Off
php_flag session.auto_start Off

方案 C：運行時覆蓋 (最後手段，不推薦)

<?php
// 放入所有入口檔案最頂部 (如 common.inc.php、config.php、index.php)
ini_set('session.auto_start', 0);
// register_globals 在 PHP 5.4+ 已移除，無需處理；舊版無法用 ini_set 關閉
?>

方案 D：聯繫空間商

發工單要求主機商在全域 php.ini 關閉兩項，正規商家通常預設已關閉。

遺留代碼兼容性處理 (Discuz!/ECShop/舊版 CMS 常見)

舊代碼常含如下守衛邏輯：

// 禁止 session.auto_start
if ( ini_get('session.auto_start') != 0 ) {
    exit('php.ini session.auto_start must is 0 ! ');
}

修正建議：
1. 優先修正環境配置 (上述方案)，不要刪除此檢查——它是安全防線。
2. 若確已在 php.ini/.user.ini 關閉但仍報錯，檢查：
　　- 配置檔路徑是否正確 (php --ini)。
　　- 是否有多個 php.ini 生效 (Apache vs CLI)。
　　- .user.ini 快取未過期 (等待或重啟)。
3. 實在無法修正環境 (極舊虛擬主機)，將 exit 改為觸發錯誤日誌並繼續執行，避免直接白屏：

if ( ini_get('session.auto_start') != 0 ) {
    error_log('WARNING: session.auto_start is On, may cause issues. Request: '.$_SERVER['REQUEST_URI']);
    // ini_set('session.auto_start', 0); // 嘗試關閉
}

安全基線檢查清單 (部署上線前必跑)

總結

register_globals=Off + session.auto_start=0 是 PHP 安全基線的「雙保險」。
有權限改 php.ini，無權限改 .user.ini/.htaccess，實在不行找空間商。
保留代碼層守衛邏輯，它是最後一道防線。
定期跑基線檢查清單，防範配置漂移、版本升級導致的安全退化。

• 上一篇文章： Windows 伺服器「系統分頁池耗盡」導致死機：註冊表調優 PoolUsageMaximum 與 PagedPoolSize 實戰
• 下一篇文章： 空間購買前必測：XMLHTTP 組件支援檢測腳本與原理深度解析

關於伺服器

RHEL 5圖形介面配置SELinux與Web服務器指南

IBM System x3610 常見問題精選問答 (FAQ)

運維經驗分享：伺服器成本優化策略 (分類、分層、分級、平台化、混佈)