Le superglobal sono variabili PHP integrate che sono automaticamente disponibili in ogni ambito — contengono dati di richiesta, informazioni del server, sessioni e altro. Sono il modo in cui gli script PHP accedono alle informazioni della richiesta HTTP in arrivo.
Queste sono disponibili ovunque (nessuna parola chiave global necessaria), a differenza delle variabili normali che hanno ambito limitato alla loro funzione.
// query parameters and form data
$id = $_GET['id'] ?? null; // ?? provides a default if missing
$username = $_POST['username'] ?? '';
// request info
$method = $_SERVER['REQUEST_METHOD']; // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id']; // SQL INJECTION!
echo $_GET['name']; // XSS!
// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id']; // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); // parameterized query
echo htmlspecialchars($_GET['name']); // escape for output (prevent XSS)
I dati da $_GET, $_POST, $_COOKIE, $_REQUEST sono input non affidabile dell'utente — usarli direttamente abilita SQL injection, XSS e altri attacchi. Convalida sempre, usa query parametrizzate per i database ed escapa l'output.
Le superglobal sono fondamentali per lo sviluppo web PHP — sono il modo in cui gli script ricevono dati di richiesta HTTP (stringhe di query, invii di form, cookie, sessioni, file caricati, informazioni del server), quindi comprenderle è conoscenza essenziale quotidiana per gestire qualsiasi input dell'utente.
Sapere cosa contiene ogni superglobal ($_GET, $_POST, $_SERVER, $_SESSION, ecc.) e come accedere ai dati di richiesta è necessario per costruire qualsiasi applicazione PHP.
Ma il punto più importante è la sicurezza: i dati da $_GET/$_POST/$_COOKIE/$_REQUEST sono input non affidabile dell'utente, e usarli direttamente è la causa principale delle vulnerabilità web più comuni e pericolose (SQL injection, XSS).
Comprendere che i dati di richiesta superglobal devono sempre essere convalidati, utilizzati in sicurezza (query parametrizzate per i database) ed evasi in output è una conoscenza critica e essenziale per la sicurezza — poiché le superglobal sono il punto di ingresso per l'input dell'utente, la loro cattiva gestione è dove originano molte gravi violazioni di sicurezza di PHP, rendendo la loro gestione sicura una responsabilità fondamentale per ogni sviluppatore PHP. (I moderni framework come Laravel avvolgono le superglobal in astrazioni di richiesta più sicure, ma il principio sottostante di non fidarsi dell'input rimane.)