Newsgroup: it.comp.www.php
Titolo: consigli su settaggio file php.ini

Ciao a tutti, riprendendo un discorso sulla sicurezza postato su questo 
ng giorni fa e dopo aver letto una miriade di how to trovati in rete, 
vorrei cortesemente un vostro parere su alcune voci da far settare al 
mio attuale hoster nel file php.ini.
Avrei intenzione di settare in particolar modo le sequenti voci nel modo 
indicato a fianco. Vi ho anche indicato il motivo sulla base di quanto 
letto qua e là, che ne pensate? Posso avere problemi di funzionalità 
gravi? O effetti collaterali con alcuni script?
register globals OFF - uso solo GET e POST per passare variabili nel mio 
sito e ogni valore viene comunque filtrato e inizializzato a monte dei 
files, nonostante tutto preferisco disabilitarlo;
error_reporting OFF - ho letto che è meglio non visualizzare 
pubblicamente messaggi di errore nel sito anche se ciò si ripercuote 
sull'eventuale correzione da parte mia;
warn_plus_overloading = OFF - ho letto che è bene disabilitarlo ma 
leggendo a cosa serve non capisco che problemi può darmi;
file_uploads OFF - non ho bisogno che gli utenti carichino files sul 
server quindi preferisco ugualmente disabilitarlo;
allow_url_fopen = OFF - vorrei evitare l'interpolazione dell'url o di 
GET e POST con files o indirizzi presenti su altri siti;
allow_url_include = OFF - lo stesso di sopra;
ho trovato in un sito riferimento anche a:
display_errors OFF
display_startup_errors OFF
log_errors OFF
track_errors OFF
ma mi chiedo se siano pericolosi per la sicurezza del mio sito di fronte 
ad un malintenzionato.
Dubbio amletico infine è su:
magic_quotes e magic_quotes_runtime... ON o OFF?
In locale li ho messi su OFF usando la funzione addslashes quando da 
POST O GET gestisco apici etc. nel dbase.
Che mi suggerite?
Disabilitereste altre voci? Se si quali?
Grazie infinite per la pazienza nel leggermi.
Marco

 leggendo a cosa serve non capisco che problemi può darmi;
Dal manuale: This option doesn't exist as of PHP 4. Uso del + come 
concatenatore di stringhe, al posto del .
[1] Non conviene visualizzare a video gli errori (in produzione) però 
abiliterei il log_errors e error_log su file, come consiglia il man:
log_errors  boolean
     Tells whether script error messages should be logged to the 
server's error log or error_log. This option is thus server-specific.
         Note: You're strongly advised to use error logging in place of 
error displaying on production web sites.
	Francesco

Francesco grazie per avermi risposto. Quindi dai conferma anche per 
tutti le altre voci quali register globals,allow_url_include etc.etc.?

 tutti le altre voci quali register globals,allow_url_include etc.etc.?
Register global va *certamente* disabilitato, le altre dipendono dal 
contesto: se non hai bisogno di aprire via una url remota le puoi 
disabilitare (non ne vedo .
Una cosa che mi sono dimenticato nel precedente post è la verifica a 
runtime del magic_quotes altrimenti se porti il codice su un altro 
sistema e non verifichi il php.ini (quindi com magic_quotes ON) duplichi 
tutte le \
Per l'inserimento su db invece di utilizzare addslashes usa la funzione 
proprietaria del dmbs stesso.
	Francesco