Superglobaler er innebygde PHP-variabler som er automatisk tilgjengelige i ethvert omfang — de inneholder forespørselsdata, serverinformasjon, økter og mer. De er hvordan PHP-skript får tilgang til innkommende HTTP-forespørelsesinformasjon.
Disse er tilgjengelige overalt (ingen global-nøkkelord nødvendig), i motsetning til normale variabler som er begrenset til sin funksjon.
// query parameters and form data
$id = $_GET['id'] ?? null; // ?? provides a default if missing
$username = $_POST['username'] ?? '';
// request info
$method = $_SERVER['REQUEST_METHOD']; // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id']; // SQL INJECTION!
echo $_GET['name']; // XSS!
// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id']; // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); // parameterized query
echo htmlspecialchars($_GET['name']); // escape for output (prevent XSS)
Data fra $_GET, $_POST, $_COOKIE, $_REQUEST er upålitelig brukerinput — å bruke det direkte gjør det mulig for SQL-injeksjon, XSS og andre angrep. Valider alltid, bruk parameteriserte spørringer for databaser, og escape-utgangen.
Superglobaler er grunnleggende for PHP-webutvikling — de er hvordan skript mottar HTTP-forespørselsdata (spørringstekster, skjemainnleveringer, cookies, økter, opplastede filer, serverinformasjon), så forståelse av dem er vesentlig daglig kunnskap for håndtering av brukerinput.
Å vite hva hver superglobal inneholder ($_GET, $_POST, $_SERVER, $_SESSION, osv.) og hvordan du får tilgang til forespørselsdata, er nødvendig for å bygge en PHP-applikasjon.
Men det viktigste punktet er sikkerhet: data fra $_GET/$_POST/$_COOKIE/$_REQUEST er upålitelig brukerinput, og å bruke det direkte er rotårsaken til de mest vanlige og farlige webbsårbarheter (SQL-injeksjon, XSS).
Å forstå at superglobal-forespørselsdata alltid må valideres, brukes sikkert (parameteriserte spørringer for databaser) og escape-utgangen er kritisk, sikkerhet-essensiell kunnskap — siden superglobaler er inngangspunktet for brukerinput, feilhåndtering av dem er der mange alvorlige PHP-sikkerhetsbrud oppstår, noe som gjør sikker håndtering av dem til et grunnleggende ansvar for hver PHP-utvikler. (Moderne rammeverk som Laravel wrapper superglobaler i sikrere forespørselsabstraksjon, men det underliggende prinsippet om aldri å stole på input forblir.)