[PHP] Dubbio

[mxa]

Mi è sorto un dubbio:
con fopen() in teoria posso aprire anche un file remoto via http. Ma quindi sempre in teoria, a meno che uno non metta nella sua direcory dove tiene un file tipo config.inc.php con
magari anche dentro qualche password .htaccess, chiunque può scrivere uno scriptino del tipo

<?php
$file=readfile("http://indirizzo/config/config.inc.php/","r");
?>

E' vero anche in pratica?

[mxa]

mi rispondo da solo:
No, perchè qualsiasi cosa compresa tra
<?php e ?> non viene letta, visto che la richiesta appare uguale a quella di un browser dal server che quindi prima la elabora e poi ne spedisce il risultato.

[mxa]

Sempre per testare vari aspetti di questa problematica ho provato ad includere un file remoto.
Il risultato è stato che le funzioni che 'stampano' qualcosa all'interno del file incluso mi funzionano, ma se provo ad usare le variabili in esso dichiarate mi dice che non sono definite.
Idea del perchè?

[Fabio Heller]

Se le variabili vengono passate via GET o POST e non le passi quando usi fopen, allora ti viene fornito un notice

Per completare l'argomento guarda anche queste funzioni

file_get_contents()
fopen()
E le funzioni curl_*

E se ti va leggi questo articolo
http://freephp.html.it/articoli/view_articolo.asp?id=76

[Fabio Heller]

Originariamente inviato da mxa

Il risultato è stato che le funzioni che 'stampano' qualcosa all'interno del file incluso mi funzionano, ma se provo ad usare le variabili in esso dichiarate mi dice che non sono definite.

Aspetta...forse ho capito cosa intendi

Se "includi" il file attraverso readfile o funzione analoga tu in realtà prelevi solo l'output come farebbe il browser, lo script php che include non include un altro script php (quindi non puoi usarne le variabili) ma solo l'output

[mxa]

Originariamente inviato da Fabio Heller
Aspetta...forse ho capito cosa intendi

Se "includi" il file attraverso readfile o funzione analoga tu in realtà prelevi solo l'output come farebbe il browser, lo script php che include non include un altro script php (quindi non puoi usarne le variabili) ma solo l'output

No, in raltà in questo post io per includere intento proprio includere:
supponiamo che su un host host1.it ho questo file config.inc.php nella directory config dentro la root del web server

<?php
//PASSWORD DELL'AMMINISTRATORE
$login_utente="topolino";
$password_utente="minnie";
?>

in un altro sito, diciamo host2.it metto un file php: catturapassword.php del tipo:

<?php
include "http://host1.it/config/config.inc.php";
echo $login;
echo $password;
?>

Così facendo pensavo si potesse includere il file e avere a disposizione le sue variabili.
In realtà, postando questo messaggio mi sono reso conto che io sto richiedendo via HTTP ad host1 il file config.inc.php,
di conseguenza al server web, che di conseguenza lo interpreta prima di mandarmelo e a me arriva solo l'output.
Ora quello che mi (e vi) chiedo è:
esiste la possibilità di includere in qualche modo un file remoto così com'è, cioè senza che il codice php venga prima eseguito?

[Fabio Heller]

Un include attraverso http:// non è un vero include, è come fare readfile(http://..)

cioè includi il solo output.

Se così non fosse sarebbe una bella falla per la sicurezza, chiunque potrebbe includere file remote e script realizzati altrove

[mxa]

Eh appunto, è proprio da quel punto di vista che mi è sorto il dubbio!
Grazie