使用get_defined_constants函數時，常量中是否可能包含敏感信息風險？

M66 2025-05-24

在PHP中， get_defined_constants()是一個用於獲取所有已定義常量（包括用戶自定義和PHP系統預定義常量）及其對應值的函數。這個函數在調試、配置檢查或開發調試工具時非常有用，但如果使用不當，也可能引發安全隱患，特別是在涉及敏感信息的場景中。

函數簡介

get_defined_constants([bool $categorize = false]): array
這個函數會返回當前腳本中所有定義的常量。當參數$categorize設置為true時，返回的數組會按模塊分類，便於識別各類常量的來源。

例如：

 $constants = get_defined_constants();
print_r($constants);

這段代碼會輸出所有定義過的常量及其值，包括諸如E_ERROR , PHP_VERSION , 以及用戶通過define()或const定義的常量。

潛在的敏感信息風險

雖然系統預定義常量大多數是無害的，但用戶定義的常量中可能包含敏感信息，例如數據庫憑據、API密鑰、路徑信息等。例如：

 define('DB_PASSWORD', 'SuperSecretPassword123');
define('API_KEY', 'sk_live_abc123xyz789');

如果在調試工具或日誌系統中直接輸出get_defined_constants()的返回結果，並將其暴露給外部用戶，敏感信息就有可能被洩露。這在多用戶環境下或調試工具部署在線上環境時尤為危險。

特別是在一些調試頁面或錯誤處理系統中，開發人員可能習慣性地輸出全局狀態以便分析問題，例如：

 echo '<pre>';
print_r(get_defined_constants());
echo '</pre>';

如果此類輸出未加權限限制，攻擊者可以通過訪問該頁面獲取包含敏感數據的常量內容。

真實案例分析

假設某個PHP調試工具（如自定義錯誤顯示器）部署在https://debug.m66.net/debug.php ，且其中包含如下代碼：

 if ($_GET['debug'] === '1') {
    echo '<pre>';
    print_r(get_defined_constants());
    echo '</pre>';
}

一旦調試開關被啟用，頁面將會輸出所有常量信息。如果某些常量包含如下內容：

 define('PAYMENT_GATEWAY_SECRET', 'sk_test_abc123');
define('AWS_SECRET_ACCESS_KEY', 'wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY');

攻擊者即可輕鬆讀取這些信息，造成嚴重安全後果。

風險緩解建議

為了防止敏感信息洩露，建議在使用get_defined_constants()時遵循以下最佳實踐：

避免在生產環境輸出所有常量。僅在本地或受信任的開發環境中使用此函數。
敏感信息分類管理。將敏感配置放在獨立的配置文件中，並確保該文件未定義為常量，而是作為變量存儲於內存中。
訪問控制。所有包含調試信息的接口必須進行身份驗證，禁止公開訪問。
條件過濾輸出。輸出前檢查常量名，例如排除包含SECRET 、 KEY 、 PASSWORD等敏感關鍵字的常量：

 $constants = get_defined_constants();
foreach ($constants as $name => $value) {
    if (preg_match('/(SECRET|KEY|PASSWORD)/i', $name)) {
        continue;
    }
    echo "$name => $value\n";
}

日誌脫敏。若將常量信息寫入日誌系統，務必在寫入前進行脫敏處理。

總結

get_defined_constants()是一個強大的函數，但“能力越大，責任越大”。開發者在使用它時，必須充分考慮潛在的安全隱患，尤其是在涉及敏感信息的上下文中。通過良好的訪問控制、輸出過濾以及環境隔離，可以有效降低使用該函數時帶來的風險，保障應用的整體安全性。