Superglobals yra jau sukurti PHP kintamieji, kurie yra automatiškai prieinami kiekviename scope'e — jie saugo užklausos duomenis, serverio informaciją, sesijas ir daug ko daugiau. Tai yra kaip PHP scenarijus pasiekia grįžtančią HTTP užklausos informaciją.
Jos yra prieiomos visur (nereikia global raktažodžio), skirtingai nuo paprastų kintamųjų, kurie yra aprėpti tik savo funkcijoje.
// query parameters and form data
$id = $_GET['id'] ?? null; // ?? provides a default if missing
$username = $_POST['username'] ?? '';
// request info
$method = $_SERVER['REQUEST_METHOD']; // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id']; // SQL INJECTION!
echo $_GET['name']; // XSS!
// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id']; // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); // parameterized query
echo htmlspecialchars($_GET['name']); // escape for output (prevent XSS)
Duomenys iš $_GET, $_POST, $_COOKIE, $_REQUEST yra nepasitikima naudotojo įvestis — tiesioginis jų naudojimas suaktyvina SQL injekciją, XSS ir kitus užpuolimus. Visada tikrinkite, naudokite parametrizuotas užklausas duomenų bazėms ir išencodinkite išvestį.
Superglobals yra esminiai PHP žiniatinklio kūrimui — tai yra kaip scenarijus gauna HTTP užklausos duomenis (užklausos eilutes, formos pateikimus, slapukus, sesijas, failų įkėlimus, serverio informaciją), todėl jų supratimas yra būtina kasdienė žinių sritis, norint valdyti bet kokią naudotojo įvestį.
Žinojimas, ką kiekvienas superglobal ($_GET, $_POST, $_SERVER, $_SESSION ir kt.) apima ir kaip pasiekti užklausos duomenis, yra būtinas bet kokios PHP programos kūrimui.
Tačiau svarbiausia yra sauga: duomenys iš $_GET/$_POST/$_COOKIE/$_REQUEST yra nepasitikima naudotojo įvestis, ir tiesioginis jų naudojimas yra pagrindinė priežastis labiausiai paplitusioms ir pavojingiausioms žiniatinklio saugumo spragoms (SQL injekcija, XSS).
Supratimas, kad superglobal užklausos duomenys visada turi būti patikrinti, naudojami saugiai (parametrizuotos duomenų bazės užklausos) ir išencodinti išvestyje yra kritinis, saugumui būtinas žinias — kadangi superglobals yra naudotojo įvesties įėjimo taškas, jų nepravilais valdymas yra vieta, kur atsiranda dauguma rimtų PHP saugumo pažeidimų, todėl jų saugi vadyba yra kiekvieno PHP kūrėjo pagrindinė atsakomybė. (Šiuolaikiniai karkasai, tokie kaip Laravel, supa superglobals saugesniu prašymo abstrakcijomis, tačiau pagrindinė neigiamo pasitikėjimo įvestimi principas išlieka.)