Apa itu superglobals PHP?

Question

Accepted Answer

**Superglobals** adalah variabel PHP built-in yang **secara otomatis tersedia di setiap scope** — mereka menyimpan data request, info server, session, dan banyak lagi. Mereka adalah cara PHP script mengakses informasi HTTP request yang masuk.

## Superglobals utama

```php
<?php
$_GET       // query string parameters:  /page?id=5 → $_GET['id']
$_POST      // form POST data:            $_POST['username']
$_REQUEST   // combined GET + POST + COOKIE (avoid — ambiguous)
$_SERVER    // server/request info:       $_SERVER['REQUEST_METHOD'], ['HTTP_HOST']
$_SESSION   // session data (persists across requests)
$_COOKIE    // cookies sent by the browser
$_FILES     // uploaded files
$_ENV       // environment variables
$GLOBALS    // all global variables
```

Ini tersedia di mana-mana (tidak perlu keyword `global`), berbeda dengan variabel normal yang di-scope ke function mereka.

## Mengakses data request

```php
// query parameters and form data
$id = $_GET['id'] ?? null;             // ?? provides a default if missing
$username = $_POST['username'] ?? '';

// request info
$method = $_SERVER['REQUEST_METHOD'];   // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
```

## Peringatan keamanan KRITIS: jangan pernah mempercayai data superglobal

```php
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id'];   // SQL INJECTION!
echo $_GET['name'];                                          // XSS!

// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id'];                          // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");   // parameterized query
echo htmlspecialchars($_GET['name']);             // escape for output (prevent XSS)
```

**Data dari `$_GET`, `$_POST`, `$_COOKIE`, `$_REQUEST` adalah user input yang tidak terpercaya** — menggunakannya secara langsung memungkinkan SQL injection, XSS, dan serangan lainnya. Selalu validasi, gunakan parameterized queries untuk database, dan escape output.

## Mengapa ini penting

Superglobals adalah fundamental untuk web development PHP — mereka adalah cara script menerima data HTTP request (query strings, form submissions, cookies, sessions, uploaded files, server info), jadi memahami mereka adalah pengetahuan essential everyday untuk menangani user input apapun.

Mengetahui apa yang setiap superglobal berisi (`$_GET`, `$_POST`, `$_SERVER`, `$_SESSION`, dll) dan cara mengakses data request adalah necessary untuk membangun aplikasi PHP apapun.

Tapi **poin paling penting adalah security**: data dari `$_GET`/`$_POST`/`$_COOKIE`/`$_REQUEST` adalah **untrusted user input**, dan menggunakannya secara langsung adalah root cause dari web vulnerabilities yang paling umum dan berbahaya (SQL injection, XSS).

Memahami bahwa data superglobal request harus **selalu** divalidasi, digunakan dengan aman (parameterized queries untuk database), dan di-escape pada output adalah pengetahuan yang critical dan security-essential — karena superglobals adalah entry point untuk user input, mishandling mereka adalah di mana banyak PHP security breaches yang serius berasal, menjadikan safe handling mereka tanggung jawab foundational untuk setiap PHP developer. (Modern frameworks seperti Laravel membungkus superglobals dalam request abstractions yang lebih aman, tapi prinsip underlying dari tidak pernah mempercayai input tetap sama.)