Superglobales son variables de PHP incorporadas que están disponibles automáticamente en todos los ámbitos — contienen datos de solicitudes, información del servidor, sesiones y más. Son la forma en que los scripts de PHP acceden a información de solicitudes HTTP entrantes.
Estas están disponibles en todas partes (no se necesita la palabra clave global), a diferencia de las variables normales que están limitadas al alcance de su función.
// query parameters and form data
$id = $_GET['id'] ?? null; // ?? provides a default if missing
$username = $_POST['username'] ?? '';
// request info
$method = $_SERVER['REQUEST_METHOD']; // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id']; // SQL INJECTION!
echo $_GET['name']; // XSS!
// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id']; // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); // parameterized query
echo htmlspecialchars($_GET['name']); // escape for output (prevent XSS)
Los datos de $_GET, $_POST, $_COOKIE, $_REQUEST son entrada de usuario no confiable — usarlos directamente permite inyecciones SQL, XSS y otros ataques. Siempre valida, usa consultas parametrizadas para bases de datos y escapa la salida.
Las superglobales son fundamentales para el desarrollo web con PHP — son la forma en que los scripts reciben datos de solicitudes HTTP (cadenas de consulta, envíos de formularios, cookies, sesiones, archivos cargados, información del servidor), por lo que comprenderlas es conocimiento esencial cotidiano para manejar cualquier entrada de usuario.
Saber qué contiene cada superglobal ($_GET, $_POST, $_SERVER, $_SESSION, etc.) y cómo acceder a los datos de solicitudes es necesario para construir cualquier aplicación PHP.
Pero el punto más importante es la seguridad: los datos de $_GET/$_POST/$_COOKIE/$_REQUEST son entrada de usuario no confiable, y usarlos directamente es la causa raíz de las vulnerabilidades web más comunes y peligrosas (inyección SQL, XSS).
Entender que los datos de solicitudes de superglobales siempre deben ser validados, usados de forma segura (consultas parametrizadas para bases de datos) y escapados en la salida es conocimiento crítico y esencial para la seguridad — ya que las superglobales son el punto de entrada de entrada de usuario, manejarlas incorrectamente es donde se originan muchas brechas de seguridad graves en PHP, lo que hace que su manejo seguro sea una responsabilidad fundamental para cada desarrollador de PHP. (Los marcos modernos como Laravel envuelven las superglobales en abstracciones de solicitudes más seguras, pero el principio subyacente de nunca confiar en la entrada permanece.)