Bulgaria PHP Conference


(PHP 4 >= 4.1.0, PHP 5 < 5.4.0)

import_request_variablesImporta variáveis GET/POST/Cookie para o escopo global


bool import_request_variables ( string $types [, string $prefix ] )

Importa variáveis GET/POST/Cookie para o escopo global. É útil se você desabilita register_globals, mas você poderia ver algunas variáveis no escopo global.

Se você está interessado em importar outras variáveis para o escopo global, como uma a SERVER, utilize a função extract().



Usando o parâmetro types, você pode especificar que variáveis serão importadas. Você pode usar os caracteres 'G', 'P' e 'C' respectivamente para GET, POST e Cookie. Estes caracteres não são case sensitive, então você pode também usar qualquer combinação de 'g', 'p' e 'c'. POST inclue informação sobre arquivos enviados.


Note que a ordem das letras, como usando "gp", a variável POST irá sobreescrever variáveis GET com mesmo nome. Algumas outras letras como GPC são descartadas.


Prefixo no nome de variáveis, prepara todos os nomes de variáveis antes de ser importadas para o escopo global. Então se você tem um valor GET nomeado "userid", e fornece "pref_" como prefixo, então você terá uma variável global chamada $pref_userid.


Embora o parâmetro prefix seja opcional, você irá receber E_NOTICE se você especificar não especificar prefixo, ou se o prefixo for uma string vazia. Isto é possível perigo. Notices não são mostrados usando o padrão error reporting level.

Valor Retornado

Retorna TRUE em caso de sucesso ou FALSE em caso de falha.


Exemplo #1 Exemplo da import_request_variables()

// This will import GET and POST vars
// with an "rvar_" prefix


Veja Também

add a note add a note

User Contributed Notes 6 notes

ceo AT l-i-e DOT com
10 years ago
Call me crazy, but it seems to me that if you use this function, even WITH the prefix, then you might as well just turn register_globals back on...

Sooner or later, somebody will find a "hole" with your prefixed variables in an un-initialized variable.

Better to import precisely the variables you need, and initialize anything else properly.
rustamabd at gmail dot com
2 years ago
import_request_variables() is gone from PHP since version 5.4.0. A simple plug-in replacement it extract().

For example:

import_request_variables('gp', 'v_');

Can be replaced with:

samb06 at gmail dot com
8 years ago
What i do is have a small script in my header file that takes an array called $input, and loops through the array to extract variables. that way the security hole can be closed, as you specify what variables you would like extracted

$input = array('name' => null, 'age' => 26) ;

// 26 is the default age, if $_GET['age'] is empty or not set

function extract_get()
        global $input ;
        if ($input)
                foreach ($input as $k => $v)
                        if ($_GET[$k] == '' or $_GET[$k] == NULL)
                                $GLOBALS[$k] = $v ;
                                $GLOBALS = $_GET[$k] ;
cornflake4 at gmx dot at
10 years ago
oops, a typo in my comment:

The last line in the second example (the on using the extract() function) should read:

echo $_GET['var']; # prints 1, so $_GET has been unchanged
brian at enchanter dot net
10 years ago
import_request_variables does *not* read from the $_GET, $_POST, or $_COOKIE arrays - it reads the data directly from what was submitted. This is an important distinction if, for example, the server has magic_quotes turned on and you massage the data to run stripslashes on it; if you then use import_request_variables, your variables will still have slashes in them.

In other words: even if you say $_GET=""; $_POST=""; then use import_request_variables, it'll still get all the request data.

If you change the contents of $_GET and you then want to bring this data into global variables, use extract($_GET, EXTR_PREFIX_ALL, "myprefix") instead.
9 years ago
reply to ceo AT l-i-e DOT com:

I don't think it's a risk, as all of your request variables will be tagged with the prefix. As long as you don't prefix any of your internal variables with the same, you should be fine.

If someone tries to access an uninitiated security-related variable like $admin_level through request data, it will get imported as $RV_admin_level.
To Top