А вот, значит, когда PHP в каком-то там режиме «автоматических переменных» позволяет в URL писать /script.php?password_hash=42
– и перетереть любую скриптовую переменную пользовательским вводом (где задаётся не только значение, но и _имя_ переменной!), хотя в доке сказано, мол, warning, deprecated and discouraged, highly vulnerable
– То кодеры из «нормальных» языков, говорят,
…Вы чё там, обкурились, когда свой пэхэпэ создавали!?