Was sind PHP-Superglobals?

Question

Accepted Answer

**Superglobals** sind eingebaute PHP-Variablen, die **automatisch in jedem Scope verfügbar** sind — sie enthalten Request-Daten, Server-Informationen, Sessions und mehr. Sie sind die Art und Weise, wie PHP-Skripte auf eingehende HTTP-Request-Informationen zugreifen.

## Die wichtigsten Superglobals

```php
<?php
$_GET       // query string parameters:  /page?id=5 → $_GET['id']
$_POST      // form POST data:            $_POST['username']
$_REQUEST   // combined GET + POST + COOKIE (avoid — ambiguous)
$_SERVER    // server/request info:       $_SERVER['REQUEST_METHOD'], ['HTTP_HOST']
$_SESSION   // session data (persists across requests)
$_COOKIE    // cookies sent by the browser
$_FILES     // uploaded files
$_ENV       // environment variables
$GLOBALS    // all global variables
```

Diese sind überall verfügbar (kein `global`-Schlüsselwort erforderlich), anders als normale Variablen, die auf ihre Funktion begrenzt sind.

## Zugriff auf Request-Daten

```php
// query parameters and form data
$id = $_GET['id'] ?? null;             // ?? provides a default if missing
$username = $_POST['username'] ?? '';

// request info
$method = $_SERVER['REQUEST_METHOD'];   // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
```

## Die KRITISCHE Sicherheitswarnung: Superglobal-Daten niemals vertrauen

```php
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id'];   // SQL INJECTION!
echo $_GET['name'];                                          // XSS!

// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id'];                          // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");   // parameterized query
echo htmlspecialchars($_GET['name']);             // escape for output (prevent XSS)
```

**Daten von `$_GET`, `$_POST`, `$_COOKIE`, `$_REQUEST` sind nicht vertrauenswürdige Benutzereingaben** — deren direkte Verwendung ermöglicht SQL-Injection, XSS und andere Angriffe. Immer validieren, parametrisierte Abfragen für Datenbanken verwenden und Ausgabe escapen.

## Warum es wichtig ist

Superglobals sind fundamental für PHP-Webentwicklung — sie sind die Art, wie Skripte HTTP-Request-Daten (Query Strings, Form-Submissions, Cookies, Sessions, hochgeladene Dateien, Server-Informationen) erhalten. Das Verständnis dafür ist essentielles alltägliches Wissen für den Umgang mit Benutzereingaben.

Zu wissen, welche Daten jedes Superglobal enthält (`$_GET`, `$_POST`, `$_SERVER`, `$_SESSION` usw.) und wie auf Request-Daten zugegriffen wird, ist notwendig zum Erstellen jeder PHP-Anwendung.

Aber der **wichtigste Punkt ist Sicherheit**: Daten von `$_GET`/`$_POST`/`$_COOKIE`/`$_REQUEST` sind **nicht vertrauenswürdige Benutzereingaben**, und deren direkte Verwendung ist die Grundursache der häufigsten und gefährlichsten Webanfällbarkeiten (SQL-Injection, XSS).

Das Verständnis, dass Superglobal-Request-Daten **immer** validiert, sicher verwendet (parametrisierte Abfragen für Datenbanken) und bei der Ausgabe escaped werden müssen, ist kritisches, sicherheitswichtiges Wissen — da Superglobals der Einstiegspunkt für Benutzereingaben sind, ist deren fehlerhafte Handhabung der Ort, an dem viele ernsthafte PHP-Sicherheitsverletzungen entstehen, was eine sichere Handhabung zu einer grundlegenden Verantwortung für jeden PHP-Entwickler macht. (Moderne Frameworks wie Laravel umhüllen Superglobals mit sicheren Request-Abstraktionen, aber das zugrundeliegende Prinzip, Eingaben niemals zu vertrauen, bleibt bestehen.)