Superglobaalit ovat sisäänrakennettuja PHP-muuttujia, jotka ovat automaattisesti saatavilla jokaisessa scopessa — ne sisältävät pyynnön tiedot, palvelimen tiedot, istunnot ja paljon muuta. Niiden avulla PHP-skriptit pääsevät käsiksi saapuvan HTTP-pyynnön tietoihin.
Ne ovat saatavilla kaikkialla (ei tarvita global-avainsanaa), toisin kuin tavalliset muuttujat, jotka ovat rajattu funktionsa scopeen.
// query parameters and form data
$id = $_GET['id'] ?? null; // ?? provides a default if missing
$username = $_POST['username'] ?? '';
// request info
$method = $_SERVER['REQUEST_METHOD']; // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id']; // SQL INJECTION!
echo $_GET['name']; // XSS!
// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id']; // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); // parameterized query
echo htmlspecialchars($_GET['name']); // escape for output (prevent XSS)
Tiedot $_GET, $_POST, $_COOKIE, $_REQUEST ovat epäluotettavaa käyttäjän syötettä — niiden suora käyttö mahdollistaa SQL-injektiot, XSS-hyökkäykset ja muut hyökkäykset. Validoi aina, käytä parametrisoituja kyselyitä tietokannoille ja pakennattu output.
Superglobaalit ovat PHP-verkkokehityksen perusta — niiden kautta skriptit saavat HTTP-pyynnön tiedot (kyselyparametrit, lomakkeen lähetykset, evästeet, istunnot, lähetetyt tiedostot, palvelimen tiedot), joten niiden ymmärtäminen on välttämätöntä jokapäiväistä tietoa käyttäjän syötteen käsittelyä varten.
Tietää, mitä kukin superglobaali sisältää ($_GET, $_POST, $_SERVER, $_SESSION jne.) ja kuinka pyynnön tietoihin pääsee, on välttämätöntä minkä tahansa PHP-sovelluksen rakentamiselle.
Mutta tärkeintä on tietoturva: tiedot $_GET/$_POST/$_COOKIE/$_REQUEST on epäluotettavaa käyttäjän syötettä, ja niiden suora käyttö on yleisimpien ja vaarallisimpien verkon haavoittuvuuksien juurisyy (SQL-injektio, XSS).
Ymmärtäminen siitä, että superglobaali-pyynnön tiedot on aina validoitava, käytettävä turvallisesti (parametrisoidut kyselyt tietokannoille) ja väärinnettävä output-vaiheessa, on kriittisen tärkeää tietoturvaa koskevaa tietoa — koska superglobaalit ovat käyttäjän syötteen sisäänpääsykohta, niiden väärinkäsittely on paikka, jossa monet vakavat PHP-tietoturvarikkomukset alkavat, joten turvallinen niiden käsittely on perustavaa laatua oleva vastuu jokaiselle PHP-kehittäjälle. (Modernit kehykset kuten Laravel käärivät superglobaalit turvallisempiin pyynnön abstraktioihin, mutta taustalla oleva periaate syötteeseen epäluottamisesta säilyy.)