I think it is important to mention that some distributions apply bugfixes for older versions so "Available since PHP 5.3.9" is not reliable, for example:
debian squeeze implemented the directive max_input_vars in PHP 5.3.3-7+squeeze7 (see http://ftp-master.metadata.debian.org/changelogs/main/p/php5/php5_5.3.3-7+squeeze17_changelog )
运行时配置
这些函数的行为受 php.ini 中的设置影响。
| 名字 | 默认 | 可修改范围 | 更新日志 |
|---|---|---|---|
| assert.active | "1" | INI_ALL |
自 PHP 8.3.0 起弃用 |
| assert.bail | "0" | INI_ALL |
自 PHP 8.3.0 起弃用 |
| assert.warning | "1" | INI_ALL |
自 PHP 8.3.0 起弃用 |
| assert.callback | NULL | INI_ALL |
自 PHP 8.3.0 起弃用 |
| assert.quiet_eval | "0" | INI_ALL |
从 PHP 8.0.0 移除 |
| assert.exception | "1" | INI_ALL |
在 PHP 8.0.0 之前，默认是 "0"，自 PHP 8.3.0 起弃用 |
| enable_dl | "1" | INI_SYSTEM |
本过时特性将肯定会在未来被移除。 |
| max_execution_time | "30" | INI_ALL |
|
| max_input_time | "-1" | INI_PERDIR |
|
| max_input_nesting_level | "64" | INI_PERDIR |
|
| max_input_vars | 1000 | INI_PERDIR |
|
| zend.enable_gc | "1" | INI_ALL |
这是配置指令的简短说明。
-
assert.activebool -
激活 assert() 断言评测。应该使用 zend.assertions 来控制 assert() 的行为。
警告本特性已自 PHP 8.3.0 起废弃。强烈建议不要使用本特性。
-
assert.bailbool -
失败的断言将中止脚本。
警告本特性已自 PHP 8.3.0 起废弃。强烈建议不要使用本特性。
-
assert.warningbool -
为每个失败的断言产生一条 PHP 警告信息。
警告本特性已自 PHP 8.3.0 起废弃。强烈建议不要使用本特性。
-
assert.callbackstring -
断言失败后要调用的回调函数。
警告本特性已自 PHP 8.3.0 起废弃。强烈建议不要使用本特性。
-
assert.quiet_evalbool -
警告
此功能自 PHP 8.0.0 起移除。
在断言表达式执行时 error_reporting() 使用当前的设置。如果启用了，在执行时错误将不会被显示（隐式的 error_reporting(0)）。如果禁用了，错误将根据 error_reporting() 的设置来显示。
-
assert.exceptionbool -
在断言（assert）失败时产生 AssertionError 异常。
警告本特性已自 PHP 8.3.0 起废弃。强烈建议不要使用本特性。
-
enable_dlbool -
该指令允许开启或关闭使用 dl() 动态加载 PHP 模块。
关闭动态加载的主要原因是为了安全。通过动态加载，有可能忽略所有 open_basedir 限制。默认允许动态加载。
-
max_execution_timeint -
这设置了脚本被解析器中止之前允许的最大执行时间，单位秒。这有助于防止写得不好的脚本占尽服务器资源。默认设置为
30。从命令行运行 PHP 时，默认设置为0。在非 Windows 系统上，最大执行时间不会影响系统调用和系统操作等。更多细节参见 set_time_limit()。
你的 web 服务器也可以有其他超时设置，也有可能中断 PHP 的执行。Apache 有一个
Timeout指令，IIS 有一个 CGI 超时功能。他们默认都是 300 秒。更多具体信息参见你的 web 服务器的文档。 -
max_input_timeint -
脚本解析输入数据（类似 POST 和 GET）允许的最大时间，单位是秒。它从接收所有数据到开始执行脚本进行测量的。默认设置为
-1，意味着使用 max_execution_time 的值做为默认值，如果不想限制，请设置为0。 -
max_input_nesting_levelint -
max_input_varsint -
接受多少 输入的变量（限制分别应用于 $_GET、$_POST 和 $_COOKIE 超全局变量）指令的使用减轻了以哈希碰撞来进行拒绝服务攻击的可能性。如有超过指令指定数量的输入变量，将会导致
E_WARNING的产生，更多的输入变量将会从请求中截断。 -
zend.enable_gcbool -
启用或禁用循环引用记数收集器。
add a note
User Contributed Notes 4 notes
rubo77 ¶
11 years ago
csongor at halmai dot hu ¶
4 years ago
The max_input_vars setting is defined as "How many input variables may be accepted" but this is not completely correct. There is a +1 factor.
For example, if the value is 2 then the $_POST array can have up to 3 elements, if it is 1000 then it can have 1001 elements, and so on.
I want to stop the execution of the php code when there is a chance that some data was not received. Therefore, instead of relying on the standard E_WARNING, I do this in my code.
<?php
$max_input_vars = ini_get('max_input_vars');
if (count($_POST) === $max_input_vars + 1) { // note the +1 here
throw new Exception();
}
?>
If the size of the $_POST array reaches the maximum then there is the chance that there was more data so it is better to stay on the safe side and increase the config value.
horst at pepperzak.com ¶
13 years ago
Caution: Although magic_quotes_gpc is flagged as dreprecated the default value is still "ON". So you will explicitly have to put
magic_quotes_gpc = Off
into your php.ini. Commeting out the magic_quotes_gpc-line will not turn magic_quotes_gpc off.
