Apakah superglobal PHP?

Question

Accepted Answer

**Superglobal** adalah variabel PHP bawaan yang **secara otomatis tersedia di setiap scope** — mereka menyimpan data permintaan, informasi server, sesi, dan banyak lagi. Ini adalah cara skrip PHP mengakses informasi permintaan HTTP yang masuk.

## Superglobal utama

```php
<?php
$_GET       // query string parameters:  /page?id=5 → $_GET['id']
$_POST      // form POST data:            $_POST['username']
$_REQUEST   // combined GET + POST + COOKIE (avoid — ambiguous)
$_SERVER    // server/request info:       $_SERVER['REQUEST_METHOD'], ['HTTP_HOST']
$_SESSION   // session data (persists across requests)
$_COOKIE    // cookies sent by the browser
$_FILES     // uploaded files
$_ENV       // environment variables
$GLOBALS    // all global variables
```

Ini tersedia di mana-mana (tidak perlu kata kunci `global`), tidak seperti variabel normal yang di-scope ke fungsi mereka.

## Mengakses data permintaan

```php
// query parameters and form data
$id = $_GET['id'] ?? null;             // ?? provides a default if missing
$username = $_POST['username'] ?? '';

// request info
$method = $_SERVER['REQUEST_METHOD'];   // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
```

## Peringatan keamanan KRITIS: jangan pernah mempercayai data superglobal

```php
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id'];   // SQL INJECTION!
echo $_GET['name'];                                          // XSS!

// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id'];                          // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");   // parameterized query
echo htmlspecialchars($_GET['name']);             // escape for output (prevent XSS)
```

**Data dari `$_GET`, `$_POST`, `$_COOKIE`, `$_REQUEST` adalah input pengguna yang tidak dipercaya** — menggunakannya secara langsung memungkinkan injeksi SQL, XSS, dan serangan lainnya. Selalu validasi, gunakan kueri parameterized untuk database, dan escape output.

## Mengapa hal ini penting

Superglobal adalah fundamental untuk pengembangan web PHP — ini adalah cara skrip menerima data permintaan HTTP (string kueri, pengiriman formulir, cookie, sesi, file yang diunggah, informasi server), jadi memahaminya adalah pengetahuan sehari-hari yang penting untuk menangani input pengguna apa pun.

Mengetahui apa yang setiap superglobal (`$_GET`, `$_POST`, `$_SERVER`, `$_SESSION`, dll.) berisi dan cara mengakses data permintaan diperlukan untuk membangun aplikasi PHP apa pun.

Tapi **poin paling penting adalah keamanan**: data dari `$_GET`/`$_POST`/`$_COOKIE`/`$_REQUEST` adalah **input pengguna yang tidak dipercaya**, dan menggunakannya secara langsung adalah akar penyebab kerentanan web paling umum dan berbahaya (injeksi SQL, XSS).

Memahami bahwa data permintaan superglobal harus **selalu** divalidasi, digunakan dengan aman (kueri parameterized untuk database), dan di-escape pada output adalah pengetahuan penting dan kritis keamanan — karena superglobal adalah titik masuk untuk input pengguna, penanganan yang salah terhadapnya adalah tempat banyak pelanggaran keamanan PHP yang serius berasal, membuat penanganan yang aman terhadapnya menjadi tanggung jawab fundamental bagi setiap pengembang PHP. (Framework modern seperti Laravel membungkus superglobal dalam abstraksi permintaan yang lebih aman, tetapi prinsip mendasar untuk tidak mempercayai input tetap berlaku.)