PHPMyAdmin源码中带空格SESSION键的用途及安全相关疑问

我在研究安全课题时，为学习成熟应用的实现方式查看了PHPMyAdmin 5.2.2的源码，在PATH\phpMyAdmin-5.2.2-all-languages\libraries\classes\Session.php文件中发现这段代码：

/**
     * Token which is used for authenticating access queries.
     * (we use "space PMA_token space" to prevent overwriting)
     */
    if (! empty($_SESSION[' PMA_token '])) {
        return;
    }

针对这段代码，以下是对应问题的解答：

1. 何时需要在数组键名中使用空格？ #

一般情况下不建议给数组键名加空格，这属于非常规操作。只有在需要刻意避免键名被意外覆盖、或者要和其他常规命名的键做明确区分时，才会考虑这种做法。比如要保护某个核心的会话变量，防止第三方代码（比如插件、自定义脚本）不小心用同名键覆盖它。

2. 开发者注释中提及的防止覆盖具体指什么？ #

这里的防止覆盖，指的是避免PMA_token这个核心会话变量被其他代码意外覆盖。如果直接用$_SESSION['PMA_token']，那么其他业务代码、第三方插件甚至是攻击者通过某些注入手段（比如利用PHP的全局变量注册漏洞）创建同名的会话键时，就会把phpMyAdmin自己的token值覆盖掉，导致CSRF防护等依赖这个token的功能失效。加了空格后，其他代码几乎不会用带空格的' PMA_token '作为键名，就能大幅降低被覆盖的概率。

3. 该做法是否出于安全考量？ #

是的，完全是安全考量。这个token是phpMyAdmin用来做请求合法性校验（比如CSRF防护）的核心凭证，如果被覆盖，攻击者就能绕过校验发起恶意请求。用带空格的键名，相当于给这个核心变量加了一层“命名防护”，让它很难被误操作或者恶意覆盖。

4. 在我的代码中何时应采用该做法？ #

只有当你需要保护某个核心、敏感的全局变量/会话变量，且存在被第三方代码（比如你引入的插件、合作开发的模块）或者潜在攻击手段覆盖的风险时，才考虑用这种方式。如果是普通业务变量，完全没必要，反而会增加代码的可读性负担。比如你的项目里有一个用于用户身份校验的核心会话token，且项目会引入第三方插件，就可以考虑用这种带特殊字符（比如空格）的键名来降低被覆盖的风险。

内容的提问来源于stack exchange，提问作者VyR