Superglobale to wbudowane zmienne PHP, które są automatycznie dostępne w każdym zakresie — przechowują dane żądania, informacje o serwerze, sesje i wiele więcej. To sposób, w jaki skrypty PHP uzyskują dostęp do przychodzących informacji żądań HTTP.
Są dostępne wszędzie (nie jest potrzebne słowo kluczowe global), w przeciwieństwie do zwykłych zmiennych, które są ograniczone do zakresu ich funkcji.
// query parameters and form data
$id = $_GET['id'] ?? null; // ?? provides a default if missing
$username = $_POST['username'] ?? '';
// request info
$method = $_SERVER['REQUEST_METHOD']; // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id']; // SQL INJECTION!
echo $_GET['name']; // XSS!
// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id']; // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); // parameterized query
echo htmlspecialchars($_GET['name']); // escape for output (prevent XSS)
Dane z $_GET, $_POST, $_COOKIE, $_REQUEST to niezaufane dane użytkownika — ich bezpośrednie użycie umożliwia wstrzyknięcie SQL, XSS i inne ataki. Zawsze sprawdzaj poprawność, używaj sparametryzowanych zapytań do baz danych i uciekaj dane wyjściowe.
Superglobale są fundamentalne dla tworzenia aplikacji internetowych w PHP — to sposób, w jaki skrypty otrzymują dane żądań HTTP (ciągi zapytań, przesyłania formularzy, pliki cookie, sesje, przesyłane pliki, informacje o serwerze), dlatego zrozumienie ich jest niezbędną codzienną wiedzą do obsługi dowolnych danych wejściowych.
Znajomość zawartości każdej superglobale ($_GET, $_POST, $_SERVER, $_SESSION itp.) i sposobu dostępu do danych żądania jest niezbędna do tworzenia dowolnej aplikacji PHP.
Ale najważniejszym punktem jest bezpieczeństwo: dane z $_GET/$_POST/$_COOKIE/$_REQUEST to niezaufane dane użytkownika, a ich bezpośrednie użycie jest źródłem najczęstszych i najbardziej niebezpiecznych luk w bezpieczeństwie internetu (wstrzyknięcie SQL, XSS).
Zrozumienie, że dane superglobale żądania muszą zawsze być weryfikowane, używane bezpiecznie (sparametryzowane zapytania do baz danych) i uciekane na wyjściu, jest krytycznym, niezbędnym dla bezpieczeństwa wiedzą — ponieważ superglobale są punktem wejścia dla danych użytkownika, błędna obsługa ich jest miejscem, gdzie pochodzi wiele poważnych naruszeń bezpieczeństwa PHP, co czyni bezpieczną obsługę ich podstawową odpowiedzialnością każdego programisty PHP. (Nowoczesne frameworki takie jak Laravel opakowują superglobale w bezpieczniejsze abstrakcje żądań, ale podstawowa zasada niezaufania danym wejściowym pozostaje.)