PHP内置请求变量（$_GET、$_POST等）向访客展示是否安全？

你的假设逐一验证 #

1. $_GET、$_POST、$_REQUEST：基本安全，但有细节陷阱 #

你的假设大体成立，但要注意两个关键点：

• $_REQUEST的内容受PHP配置（request_order/variables_order）影响，可能会混入$_COOKIE的数据。如果你的调试页仅打算展示URL或表单提交的内容，这会导致超出预期的内容泄露。
• 打印时必须做HTML转义，比如用htmlspecialchars()包裹输出。直接用print_r($_GET)或var_dump($_POST)的话，访客提交的HTML/JS代码会在页面执行，引发XSS漏洞。举个例子：如果访客传参?test=<script>alert('恶意脚本')</script>，未转义的输出会直接执行这段代码。

2. $_COOKIE：安全展示无问题 #

这个假设成立，同样要记得做HTML转义。另外需要明确：$_COOKIE仅存储当前域名下的访客Cookie，不会泄露其他网站的敏感内容，展示给访客本身不存在数据泄露风险。唯一需要提醒的是：如果站点包含用户认证类Cookie，访客可能会因共享调试页链接而无意间泄露自己的凭据，但这属于访客自身操作风险，和代码无关。

3. $_SERVER：仅展示指定HTTP头部才安全 #

整体展示$_SERVER绝对不安全，里面包含大量服务器内部敏感信息，比如$_SERVER['DOCUMENT_ROOT']（服务器文件路径）、$_SERVER['SCRIPT_FILENAME']（当前脚本路径）、甚至可能包含环境变量中的数据库密码、API密钥等。

展示特定HTTP头部（比如$_SERVER["HTTP_MY_SPECIFIC_HEADER"]）是安全的，但要注意：

• HTTP头部在$_SERVER中会被转为大写并添加HTTP_前缀，比如前端传的My-Custom-Header会变成HTTP_MY_CUSTOM_HEADER。
• 同样要对输出做HTML转义，防止头部中的恶意代码被执行。
• 避开$_SERVER['HTTP_COOKIE']，它是原始Cookie字符串，和$_COOKIE功能重叠，没必要重复展示。

4. $_SESSION：严禁随意展示 #

这个假设完全正确。$_SESSION存储的是服务器端会话数据，哪怕是IsLoggedIn这类看似无害的字段，也可能被恶意利用（比如配合其他漏洞进行会话劫持）。大部分会话数据包含用户ID、权限、临时敏感数据等，绝对不能展示给访客——哪怕是访客自己的会话数据。

新手必避核心陷阱 #

• 永远不要直接输出未转义的用户可控内容：所有来自GET、POST、COOKIE、HTTP头部的数据，必须用htmlspecialchars()处理后再输出，示例代码：

  echo htmlspecialchars(print_r($_GET, true), ENT_QUOTES, 'UTF-8');
  

• 拒绝依赖$_REQUEST：它的内容受配置影响，容易混入意外数据，优先用$_GET或$_POST分别处理对应场景的提交数据。
• 绝对禁止展示完整的$_SERVER：哪怕你自认为检查过所有字段，也可能遗漏隐藏的敏感环境变量。
• 会话数据宁可不展示也不要冒险：除非你100%确认某个字段完全无害（比如纯布尔值的登录状态），否则不要碰$_SESSION的任何内容。
• 调试页面要做访问限制：仅在开发环境启用，或者给页面加简单的密码认证，防止无关人员访问。

内容的提问来源于stack exchange，提问作者aprlo