PHP中$REQUEST超全局变量的用途是什么？与GET/POST的区别是什么？

$_REQUEST：用途与区别

目录导读

$_REQUEST超全局变量是什么？
$_REQUEST的主要用途有哪些？
$_REQUEST与$_GET、$_POST的核心区别
使用$_REQUEST可能带来的安全问题
最佳实践与替代方案
常见问题解答（FAQ）

什么是$_REQUEST？

$_REQUEST 是PHP中一个预定义的超全局数组，它默认包含了 $_GET、$_POST 以及 $_COOKIE 中的数据，其设计初衷是为了提供一个统一的数据访问入口，使开发者无需立即判断请求方法（GET或POST）即可获取客户端提交的数据，它的数据来源和顺序由 php.ini 文件中的 request_order 或 variables_order 指令控制，这决定了它可能包含哪些数据以及数据的优先级。

主要用途

在PHP早期开发阶段,$_REQUEST 常用于简化表单处理逻辑，一个同时支持GET（用于页面初次加载）和POST（用于表单提交）的页面，开发者理论上可以用 $_REQUEST['username'] 来获取用户名，而无需先判断是 $_GET['username'] 还是 $_POST['username']，这在快速原型开发或简单脚本中曾带来一定便利。

核心区别

理解 $_REQUEST 与 $_GET/$_POST 的区别至关重要，主要体现在以下几个方面：

特性	$_GET	$_POST	$_REQUEST
数据来源	通过URL参数传递（查询字符串）	通过HTTP请求体传递（如表单提交）	默认是$_GET、$_POST和$_COOKIE的集合
数据可见性	数据完全暴露在URL中	数据在请求体内，浏览器地址栏不可见	取决于所含数据来源，可能可见也可能不可见
安全性	较低，易于被篡改或记录	相对较高，但仍需验证	最低，来源混杂，易产生安全漏洞
使用场景	获取资源、搜索查询、分页参数	提交表单、修改数据、上传文件	现代开发中已不推荐常规使用
大小限制	受URL长度限制（约2048字符）	理论上较大，受服务器配置限制	受其所包含的数组限制

最关键的区别在于： $_GET 和 $_POST 具有明确的请求方法语义，使用 $_GET 意味着你预期数据来自URL，且操作应是幂等的（如查询）；使用 $_POST 则意味着你预期数据来自请求体，通常涉及数据变更，而 $_REQUEST 模糊了这种语义，你不知道数据是来自URL、表单还是Cookie，这破坏了HTTP协议的设计原则，并带来安全隐患。

安全问题

使用 $_REQUEST 会引入显著的安全风险：

变量覆盖风险：$_GET、$_POST 和 $_COOKIE 中存在同名的键，$_REQUEST 中该键的值取决于配置的优先级，恶意用户可能通过Cookie或GET参数来覆盖POST表单提交的值，从而进行未预期的操作。
安全逻辑绕过：一个使用 $_REQUEST['action'] 来判断执行操作的脚本，攻击者可能通过URL（GET）传入 action=delete，从而绕过你原本设计为只能通过POST提交才能执行删除操作的逻辑。
加剧安全漏洞：如果代码存在其他漏洞（如SQL注入、XSS），使用 $_REQUEST 会使得攻击面扩大，因为攻击者可以通过多种渠道（URL、Cookie）注入恶意数据。

最佳实践

在现代PHP开发中,强烈建议避免使用 $_REQUEST，取而代之的是：

明确来源：始终使用 $_GET、$_POST 或 $_COOKIE 来明确指明你期望的数据来源，这使代码意图更清晰，更安全。
检查请求方法：对于处理表单的端点，使用 $_SERVER['REQUEST_METHOD'] 来验证请求方法是否符合预期。
```
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $username = $_POST['username'];
    // 处理POST逻辑
}
```
使用过滤函数：无论数据来源如何，都必须使用 filter_input() 或 htmlspecialchars() 等函数对输入进行验证和过滤。
```
$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
```
框架实践：使用现代PHP框架（如Laravel、Symfony）时，它们通常提供更优雅、安全的请求对象（如 Illuminate\Http\Request）来封装输入数据，彻底避免直接使用超全局数组。

常见问题解答

Q1: $_REQUEST 是否总是包含 $_COOKIE 的数据？ A1: 不一定，默认配置通常包含，但最终由 php.ini 中的 request_order 或 variables_order 设置决定，如果设置为 "GP"，则只包含GET和POST，不包含COOKIE，依赖这一点会使代码行为不可预测。

Q2: 为什么说 $_REQUEST 不安全？能举个例子吗？ A2: 假设一个更改用户密码的脚本：

// 不安全的方式
if (isset($_REQUEST['new_password'])) {
    $user->changePassword($_REQUEST['new_password']);
}

攻击者可以构造一个带有 <img src="https://ww.jxysys.com/change-password.php?new_password=hacked"> 的链接，如果已登录用户访问该链接，其密码可能在不知情下被修改，这是典型的CSRF（跨站请求伪造）攻击变体，如果脚本严格使用 $_POST，此类GET请求将无法生效。

Q3: 在什么情况下可以“安全地”使用 $_REQUEST？ A3: 几乎没有，在极少数只读、且不涉及任何业务逻辑的场景下（例如单纯地回显一个可来自GET或POST的搜索词），且你非常清楚服务器配置并接受了风险，才可能考虑，但即便如此，明确使用 $_GET 或 $_POST 仍然是更好、更专业的做法，安全专家和核心PHP开发者普遍建议：永远不要使用 $_REQUEST。

Q4: 如何检查并修改服务器上关于 $_REQUEST 的配置？ A4: 查看 php.ini 中的 request_order 指令，为了安全，建议将其设置为 "GP"（只包含GET和POST），或在代码层面完全避免使用它，但请注意，修改全局配置可能会影响服务器上其他遗留应用，最佳方案是在你自己的代码中遵循明确来源的原则。

$_REQUEST 是一个历史遗留的特性，其设计初衷的便利性已远不及其带来的安全风险和维护困惑，编写清晰、可预测、安全的代码，意味着你应该始终明确指出你期望输入数据的来源，放弃使用 $_REQUEST，是迈向编写更健壮PHP应用程序的重要一步。

正文