使用foreach循环从$_POST安全问题中获取创建变量？

Question

在过去，我曾使用以下代码从发布的表单中创建变量。

foreach($_POST as $k=>$v)
{
    $$k = $v;
}

使用此方法有哪些安全风险？

我在试自动取款机。在这个版本中，在创建变量之前，它会删除除字母或数字以外的所有内容，这个版本怎么样？

foreach($_POST as $k=>$v)
{
    $k = preg_replace("/[^[:alnum:]]/","",$k);
    $$k=$v;
}

Answer 1

攻击者可以注入一个名为_SESSION的POST变量，并通过该变量在您的会话中写入数据，因此您将无法再信任您的会话。