Zusammenfassend kann man sagen, dass die Inhalte der PHP-Superglobals „$_GET[]“, „$_POST[]“ und „$_COOKIE[]“ komplett unter der Kontrolle des Users stehen, teilweise gilt dies auch für „$_SERVER[]“. Das Array „$_REQUEST[]“ wird im Rahmen von TYPO3-Extensions übrigens gar nicht benötigt. Es gibt keinen Grund es zu benutzen, auch im TYPO3-Core wird es nicht verwendet.

Nutzereingaben an Bord holen

Die TYPO3-Coding-Guidelines empfehlen Entwicklern, die in ihrer Extension beispielsweise auf den Inhalt des Formularfelds „first_name“ zugreifen wollen, dies mit Hilfe von „t3lib_div::_POST('first_name')“ zu tun, obwohl sie stattdessen auch einfach „$_POST['first_name']“ verwenden könnten. Um diese Empfehlung zu erklären, muss man etwas ausholen.

Mit Hilfe der Option „magic_quotes_gpc“ kann der PHP-Interpreter so konfiguriert werden, dass der Funktionsumfang von „addslahes()“ automatisch auf alle Request-Variablen angewendet wird, um so SQL-Injections zu verhindern.

Der Sinn dieser Konfigurationsoption ist bei Sicherheitsexperten jedoch derart umstritten, dass sie gemieden werden sollte und in PHP 6 nicht mehr enthalten sein wird [2]. Da eine Web-Applikation wie TYPO3 keinen Einfluss darauf hat, ob der Administrator „Magic Quotes“ aktiviert hat, muss der TYPO3-Core dafür sorgen, dass die Request-Variablen in jedem Fall im erwarteten Format vorliegen.