Superglobals zijn ingebouwde PHP-variabelen die automatisch in elke scope beschikbaar zijn — zij bevatten request-gegevens, serverinformatie, sessies en meer. Dit is hoe PHP-scripts toegang krijgen tot inkomende HTTP-request-informatie.
Deze zijn overal beschikbaar (geen global sleutelwoord nodig), in tegenstelling tot normale variabelen die zijn beperkt tot hun functie.
// query parameters and form data
$id = $_GET['id'] ?? null; // ?? provides a default if missing
$username = $_POST['username'] ?? '';
// request info
$method = $_SERVER['REQUEST_METHOD']; // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id']; // SQL INJECTION!
echo $_GET['name']; // XSS!
// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id']; // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); // parameterized query
echo htmlspecialchars($_GET['name']); // escape for output (prevent XSS)
Gegevens van $_GET, $_POST, $_COOKIE, $_REQUEST zijn onvertrouwde gebruikersinvoer — het rechtstreeks gebruiken ervan maakt SQL-injectie, XSS en andere aanvallen mogelijk. Valideer altijd, gebruik geparametreerde query's voor databases en escape output.
Superglobals zijn fundamenteel voor PHP web development — dit is hoe scripts HTTP-request-gegevens ontvangen (querystrings, formulierinzendingen, cookies, sessies, geüploade bestanden, serverinformatie), dus het begrijpen ervan is essentiële dagelijkse kennis voor het verwerken van gebruikersinvoer.
Weten wat elke superglobal bevat ($_GET, $_POST, $_SERVER, $_SESSION, enz.) en hoe u request-gegevens kunt benaderen, is noodzakelijk voor het bouwen van elke PHP-toepassing.
Maar het belangrijkste punt is beveiliging: gegevens van $_GET/$_POST/$_COOKIE/$_REQUEST zijn onvertrouwde gebruikersinvoer, en het rechtstreeks gebruiken ervan is de oorzaak van de meest voorkomende en gevaarlijke webkwetsbaarheden (SQL-injectie, XSS).
Begrijpen dat superglobal-requestgegevens altijd moeten worden gevalideerd, veilig moeten worden gebruikt (geparametreerde query's voor databases) en op output moeten worden geescape, is kritieke, beveiligingsessentiële kennis — omdat superglobals het toegangspunt zijn voor gebruikersinvoer, het verkeerd omgaan ervan is waar veel ernstige PHP-beveiligingsinbreuken ontstaan, waardoor veilig omgaan ermee een fundamentele verantwoordelijkheid is voor elke PHP-ontwikkelaar. (Moderne frameworks zoals Laravel verpakken superglobals in veiliger request-abstracties, maar het onderliggende principe van nooit vertrouwen op invoer blijft bestaan.)