Superglobais são variáveis PHP built-in que estão automaticamente disponíveis em todo escopo — elas armazenam dados de requisição, informações do servidor, sessões e muito mais. É assim que scripts PHP acessam informações de requisições HTTP recebidas.
Estas estão disponíveis em qualquer lugar (sem necessidade da palavra-chave global), diferentemente de variáveis normais que têm escopo limitado à sua função.
// query parameters and form data
$id = $_GET['id'] ?? null; // ?? provides a default if missing
$username = $_POST['username'] ?? '';
// request info
$method = $_SERVER['REQUEST_METHOD']; // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id']; // SQL INJECTION!
echo $_GET['name']; // XSS!
// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id']; // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); // parameterized query
echo htmlspecialchars($_GET['name']); // escape for output (prevent XSS)
Dados de $_GET, $_POST, $_COOKIE, $_REQUEST são entrada não confiável do usuário — usá-los diretamente habilita SQL injection, XSS e outros ataques. Sempre valide, use consultas parametrizadas para bancos de dados e escape a saída.
Superglobais são fundamentais para desenvolvimento web em PHP — é assim que scripts recebem dados de requisições HTTP (query strings, envios de formulários, cookies, sessões, arquivos enviados, informações do servidor), portanto entendê-las é conhecimento essencial do dia a dia para lidar com qualquer entrada do usuário.
Saber o que cada superglobal contém ($_GET, $_POST, $_SERVER, $_SESSION, etc.) e como acessar dados de requisição é necessário para construir qualquer aplicação em PHP.
Mas o ponto mais importante é segurança: dados de $_GET/$_POST/$_COOKIE/$_REQUEST são entrada não confiável do usuário, e usá-los diretamente é a causa raiz das vulnerabilidades web mais comuns e perigosas (SQL injection, XSS).
Entender que dados de requisição de superglobais devem sempre ser validados, usados com segurança (consultas parametrizadas para bancos de dados) e escapados na saída é conhecimento crítico e essencial de segurança — visto que superglobais são o ponto de entrada para entrada do usuário, manuseá-las incorretamente é onde muitas brechas sérias de segurança em PHP originam, tornando o manuseio seguro delas uma responsabilidade fundamental para todo desenvolvedor PHP. (Frameworks modernos como Laravel envolvem superglobais em abstrações de requisição mais seguras, mas o princípio subjacente de nunca confiar em entrada permanece.)