使用get_defined_vars()获敏感数据是否属安全漏洞？用户能否获取这些变量？

首先直接给你结论：只要你没有主动把get_defined_vars()的输出内容发送到用户浏览器，普通网站访客就完全无法获取这些敏感数据；但如果存在输出行为，这就是严重的高危安全漏洞。

分两种情况详细说明： #

• 无输出行为时：无安全风险
  PHP是服务器端执行的脚本，所有变量（包括用户名、数据库凭据这些）都只存在于服务器的内存中，执行完毕后就会被销毁。用户的浏览器只能接收到PHP执行后生成的HTML/CSS/JS内容，根本触不到服务器端的变量空间。你用get_defined_vars()只是在服务器端查看这些变量，只要不把结果打印、echo或者通过其他方式输出到响应里，访客完全看不到这些数据。

• 有输出行为时：高危安全漏洞
  如果你的代码里不小心保留了echo get_defined_vars()、var_dump(get_defined_vars())这类代码，或者调试后没删除，那用户打开页面就能直接看到所有敏感数据——包括数据库用户名密码、当前用户的隐私信息等，这会直接导致数据泄露，被攻击者利用来接管数据库、伪造用户身份，后果非常严重。

给你的几个安全建议： #

• 调试用的get_defined_vars()、var_dump()、print_r()这类代码，生产环境绝对要清理干净，哪怕是注释掉也尽量删掉，避免误操作上线。
• 把数据库凭据这类敏感配置放在单独的文件里，比如config.php，然后设置这个文件的文件权限为600（只有所有者可读可写），并且不要把它放在web根目录下，防止配置文件被直接访问下载。
• 开启PHP的错误日志记录，关闭页面显示错误信息（在php.ini里设置display_errors = Off，log_errors = On），这样即使代码出错，也不会把变量、错误信息泄露给用户。

内容的提问来源于stack exchange，提问作者Imnotapotato