allow_url_fopen = On и allow_url_include = On

Про функцию ini_set слыхали? Или про php_flag?

Слышал, но хотелось бы узнать от хостеров, по каким религиозным соображениям они блокируют эти функции... В плане безопасности это больше из разряда паранойи, безопаснее не станет, а юзеру только лишние проблемы...

Включены. А смысл их отключать почти нулевой.

Когда у каждого php.ini - пользователи крутят настройки сами

Так правильно, ящитаю

allow_url_include - это лучше выключить, а то в дырявой CMS умудрятся прогрузить php-шел :)

а вообще лучше каждого пользователя в свой VE-контейнер :)

allow_url_fopen и allow_url_include это не функции!

это флаги, настройки, опции, что угодно, но не функции.

allow_url_fopen=off хостеры ставят чтобы юзеры меньше палили входящего трафика или не занимались проксированием. В общем это действительно либо недалекость, либо паранойя.

А вот allow_url_include это уже серьезно.

особенно в купе с register_globals=on

Пример - есть некотороя переменная в которой указывается с каким типом БД мы работаем.

И согласно ее значению подгружается определенный модуль, т.е. файл с куском кода.

имеем возможность изначально назначить эту переменную в запросе и получить инклюд файла.

Если кроме того разрешено инклюдить файлы по http - с любого внешнего сервера инклюдится все что угодно, выполняется, и через секунду у вас на сайте хакерский шелл, утилиты для рассылки спама и много иных вкусностей.

Да, неплохо