Superglobální proměnné jsou vestavěné PHP proměnné, které jsou automaticky dostupné v každém rozsahu — obsahují data požadavků, informace o serveru, relace a další. Jedná se o způsob, jak PHP skripty přistupují k příchozím informacím HTTP požadavků.
Tyto jsou dostupné všude (není potřeba klíčové slovo global), na rozdíl od normálních proměnných, které jsou vázány na svou funkci.
// query parameters and form data
$id = $_GET['id'] ?? null; // ?? provides a default if missing
$username = $_POST['username'] ?? '';
// request info
$method = $_SERVER['REQUEST_METHOD']; // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id']; // SQL INJECTION!
echo $_GET['name']; // XSS!
// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id']; // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); // parameterized query
echo htmlspecialchars($_GET['name']); // escape for output (prevent XSS)
Data z $_GET, $_POST, $_COOKIE, $_REQUEST jsou neověřená uživatelská data — jejich přímé použití umožňuje SQL injection, XSS a další útoky. Vždy ověřte data, používejte parametrizované dotazy pro databáze a escapujte výstup.
Superglobální proměnné jsou zásadní pro vývoj PHP webových aplikací — jedná se o způsob, jak skripty přijímají data HTTP požadavků (query stringy, odeslané formuláře, cookies, relace, nahrané soubory, informace o serveru), takže jejich pochopení je nezbytné každodenní znalostí pro manipulaci s jakýmkoli uživatelským vstupem.
Znalost obsahu jednotlivých superglobálních proměnných ($_GET, $_POST, $_SERVER, $_SESSION atd.) a způsobu přístupu k datům požadavku je nezbytná pro vytvoření jakékoli PHP aplikace.
Ale nejdůležitější bod je bezpečnost: data z $_GET/$_POST/$_COOKIE/$_REQUEST jsou neověřená uživatelská data, a jejich přímé použití je kořenem nejčastěji se vyskytujících a nejnebezpečnějších webových zranitelností (SQL injection, XSS).
Pochopení, že data z superglobálních proměnných musí být vždy ověřena, bezpečně používána (parametrizované dotazy pro databáze) a escapána na výstupu, je kritické, bezpečnostně nezbytné znalosti — protože superglobální proměnné jsou vstupním bodem pro uživatelský vstup, jejich nesprávné nakládání je místo, kde vzniká mnoho závažných PHP bezpečnostních porušení, což dělá bezpečné nakládání s nimi základní odpovědností každého PHP vývojáře. (Moderní frameworky jako Laravel zabalují superglobální proměnné v bezpečnějších abstrakcích požadavků, ale základní princip nikdy si nevěřit vstupům zůstává.)