$_COOKIE -- 包含所有cookie变量
$_SERVER -- 包含服务器变量，例如HTTP_USER_AGENT
$_REQUEST -- 包含$_GET、$_POST和$_COOKIE的全部内容
$_SESSION -- 包含所有已注册的session变量
在PHP 4.1之前，当开发者关闭register_globals选项(这也被考虑为提高PHP性能的一种方法)后，必须使用诸如$HTTP_GET_VARS这样的令人讨厌的名字来获取这些变量。这些新的变量名不仅仅短，而且它们还有其他优点。
首先，让我们在PHP 4.2中(也就是说关闭register_globals 选项)重写上面提到的代码：
<?php
$username = $_REQUEST['username'];
$password = $_REQUEST['password'];
// 检查用户名和口令
if ($username == 'kevin' and $password == 'secret')
$authorized = true;
?>
<?php if (!$authorized): ?>
<!-- 未授权的用户将在这里给予提示 -->
<p>Please enter your username and password:</p>
<form action="<?=$PHP_SELF?>" method="POST">
<p>Username: <input type="text" name="username" /><br />
Password: <input type="password" name="password" /><br />
<input type="submit" /></p>
</form>
<?php else: ?>
<!-- 有安全要求的HTML内容 -->
<?php endif; ?>
正如你看到的，我所需要做的只是在代码的开始增加下面两行：
$username = $_REQUEST['username'];
$password = $_REQUEST['password'];
因为我们希望用户名和密码是由用户提交的，所以我们从$_REQUEST数组中获取这些值。使用这个数组使得用户可以自由选择传递方式：通过URL查询字符串(例如允许用户创建书签时自动输入他们的证书)、通过一个提交的表单或者是通过一个cookie。如果你想要限制只能通过表单提交证书(更精确地说，是通过HTTP POST请求)，你可以使用$_POST数组：
$username = $_POST['username'];
$password = $_POST['password'];
除了“引入”这两个变量以外，程序代码没有任何改变。简单地关闭register_globals选项促使开发者更进一步了解哪些数据是来自外部的(不可信任的)资源。
请注意这里还有一个小问题：PHP中默认的error_reporting设置仍然是E_ALL & ~E_NOTICE，因此如果“username”和“password”这两个值没有被提交，试图从$_REQUEST数组或$_POST数组中获得这两个值并不会招致任何错误信息。如晨不你的PHP程序需要严格的错误检查，你还需要增加一些代码以首先检查这些变量。
但是这是不是意味着更多的输入？
是的，在象上面这样的简单程序中，使用PHP 4.2常常会增加输入量。但是，还是看看光明的一面吧 -- 你的程序终究是更安全了！
不过认真的说，PHP的设计者并没有完全忽视你的痛苦。在这些新数组中有一个特殊的其它所PHP变量都不具备的特征，它们是完全的全局变量。这对你有什么帮助呢？让我们先对我们的示例进行一下扩充。
