allow_url_include
allow_url_include は PHP 5.2.0 から追加された設定です(デフォルト無効[Off])。
このオプションが有効になっている場合は、include(), include_once(), require(), require_once() で URL 対応の fopen ラッパーが使用できます。
- PHP マニュアル: allow_url_include
この設定は、無効にすることを前提に追加されたような設定です。
PHP 5.2.0 ではあまり大きな効果はないように思っていましたが、PHP 5.2.1 からは、allow_url_include = Off にしておけば data: および php: のストリームラッパーは無効になります。
外部から PHP スクリプトを実行されてしまう原因の一つが解消されますので、この設定を無効にしておくとかなり有効のように思います。
allow_url_include を無効にすると、外部のサーバから PHP スクリプトを取得して実行したり、php://input で POST データを PHP として実行したり、data://... によって PHP スクリプトを渡したりするようなことはできなくなりますが、通常、そのようなことをする必要はないと思います。
また、allow_url_fopen については有効にしておくと便利な場合もあるかもしれませんが、外部のサーバからデータを取得する必要がない場合は Off にしておいた方が良いと思います。
この設定は、以下の時点で追加されました。
- data: and php:stdin/input allow_url_include checks
以下の Patch であれば PHP 5.2.0 でもおそらく適用可能です。
