Geeklog und register_globals=off

Als eines der häufigsten Probleme bei der Installation von Geeklog hat sich in letzter Zeit die Einstellung register_globals=off in der php.ini-Datei von PHP herausgestellt. Seit PHP 4.2.0 ist diese Einstellung nämlich der Default. Wenn man schon bei der Installation von Geeklog nicht über die erste Seite der Installationsskripts hinaus kommt, dann hat man genau dieses Problem ...

Worum geht es? Die Macher von PHP sind zu der Auffassung gelangt, dass Variablen, die über einen GET- oder POST-Request an ein PHP-Skript übergeben werden, nicht mehr automatisch als globale Variablen zur Verfügung stehen sollten, sondern dass man sie stattdessen aus speziell dafür vorgesehenen Arrays auslesen solle. Wer beim Schreiben eines Artikels schon einmal auf die URL-Zeile des Browsers geachtet hat, wird dort z.B. eine URL finden, die auf "story.php?mode=edit" endet. Dies bedeutete in PHP bisher, dass in dem Skript story.php eine globale Variable $mode mit Wert "edit" existierte. Dies wird jedoch als potenzielles Sicherheitsproblem angesehen soll daher künftig vermieden werden (Details finden sich z.B. in den Release Notes zu PHP 4.1.0).

Leider ist nun aber der Code von Geeklog schon etwas älter und verlässt sich weitgehend darauf, dass derartige globale Variablen existieren. Ein Umschreiben ist sicher nicht unmöglich, aber sehr, sehr viel Arbeit. Daher wird Geeklog bis auf Weiteres nur funktionieren, wenn man in der php.ini register_globals=on gesetzt hat. Dies ist (derzeit) auch noch die Defaulteinstellung bei praktisch allen Webhostern, da sonst auch viele andere PHP-Skripte nicht mehr funktionieren würden.

Im CVS befindet sich bereits eine Version von Geeklog, bei der die Installation, das Einloggen sowie die User-Einstellungen auch bei register_globals=off funktionieren - sonst aber nicht viel, d.h. insbesondere kann man dann auch keine Artikel oder Kommentare schreiben. Diese Änderungen waren mehr eine Übung, um den erforderlichen Aufwand für eine Umstellung besser abschätzen zu können. Und die Abschätzung ist eben, dass es sehr viel Aufwand ist und einige Zeit in Anspruch nehmen wird.

Das Geeklog-Team hat noch nicht entschieden, ob es diese Umstellung überhaupt in Angriff nehmen wird, oder ob es das Problem nicht besser bei der ohnehin geplanten nächsten großen Geeklog-Version 1.4 von vornherein im Design berücksichtigen wird. Natürlich hätten wir aber auch nichts dagegen, wenn sich vielleicht ein paar Freiwillige melden würden, die bei der Umstellung helfen wollen ...

bye, Dirk