Les superglobales sont des variables PHP intégrées qui sont automatiquement disponibles dans chaque portée — elles contiennent les données de requête, les informations serveur, les sessions, et bien plus. C'est ainsi que les scripts PHP accèdent aux informations de requête HTTP entrantes.
Celles-ci sont disponibles partout (pas besoin de mot-clé global), contrairement aux variables normales qui sont limitées à leur fonction.
// query parameters and form data
$id = $_GET['id'] ?? null; // ?? provides a default if missing
$username = $_POST['username'] ?? '';
// request info
$method = $_SERVER['REQUEST_METHOD']; // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id']; // SQL INJECTION!
echo $_GET['name']; // XSS!
// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id']; // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); // parameterized query
echo htmlspecialchars($_GET['name']); // escape for output (prevent XSS)
Les données de $_GET, $_POST, $_COOKIE, $_REQUEST sont des entrées utilisateur non fiables — les utiliser directement expose à l'injection SQL, aux XSS et à d'autres attaques. Validez toujours, utilisez des requêtes paramétrées pour les bases de données, et échappez la sortie.
Les superglobales sont fondamentales pour le développement web en PHP — c'est ainsi que les scripts reçoivent les données de requête HTTP (chaînes de requête, soumissions de formulaires, cookies, sessions, fichiers téléchargés, informations serveur). Les comprendre est donc une connaissance essentielle quotidienne pour gérer toute entrée utilisateur.
Connaître le contenu de chaque superglobale ($_GET, $_POST, $_SERVER, $_SESSION, etc.) et comment accéder aux données de requête est nécessaire pour construire toute application PHP.
Mais le point le plus important est la sécurité : les données de $_GET/$_POST/$_COOKIE/$_REQUEST sont des entrées utilisateur non fiables, et les utiliser directement est à l'origine des vulnérabilités web les plus courantes et dangereuses (injection SQL, XSS).
Comprendre que les données de requête superglobales doivent toujours être validées, utilisées en toute sécurité (requêtes paramétrées pour les bases de données) et échappées en sortie est une connaissance fondamentale critique pour la sécurité — puisque les superglobales sont le point d'entrée pour les entrées utilisateur, leur mauvaise gestion est où de nombreuses failles graves en PHP originent, rendant leur traitement sûr une responsabilité fondamentale pour chaque développeur PHP. (Les frameworks modernes comme Laravel enveloppent les superglobales dans des abstractions de requête plus sûres, mais le principe fondamental de ne jamais faire confiance aux entrées demeure.)