Суперглобалы — это встроенные переменные PHP, которые автоматически доступны в любой области видимости — они содержат данные запроса, информацию о сервере, сессии и многое другое. Это способ, с помощью которого PHP-скрипты получают информацию входящих HTTP-запросов.
Они доступны везде (ключевое слово global не требуется), в отличие от обычных переменных, которые имеют область видимости функции.
// query parameters and form data
$id = $_GET['id'] ?? null; // ?? provides a default if missing
$username = $_POST['username'] ?? '';
// request info
$method = $_SERVER['REQUEST_METHOD']; // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id']; // SQL INJECTION!
echo $_GET['name']; // XSS!
// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id']; // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); // parameterized query
echo htmlspecialchars($_GET['name']); // escape for output (prevent XSS)
Данные из $_GET, $_POST, $_COOKIE, $_REQUEST — это недоверенные пользовательские данные — их прямое использование позволяет выполнять SQL-инъекции, XSS-атаки и другие атаки. Всегда проверяйте данные, используйте параметризованные запросы для баз данных и экранируйте вывод.
Суперглобалы — основа веб-разработки на PHP — они способ, с помощью которого скрипты получают данные HTTP-запросов (строки запроса, отправки форм, cookies, сессии, загруженные файлы, информацию сервера), поэтому их понимание — необходимое ежедневное знание для обработки любого пользовательского ввода.
Знание того, что содержит каждая суперглобаль ($_GET, $_POST, $_SERVER, $_SESSION и т. д.) и как получить доступ к данным запроса, необходимо для создания любого PHP-приложения.
Но самый важный момент — это безопасность: данные из $_GET/$_POST/$_COOKIE/$_REQUEST — это недоверенные пользовательские данные, и их прямое использование — корень наиболее распространённых и опасных уязвимостей веб-приложений (SQL-инъекции, XSS).
Понимание того, что данные суперглобалей из запросов всегда должны быть проверены, использованы безопасно (параметризованные запросы для баз данных) и экранированы при выводе, критически важно для безопасности — поскольку суперглобалы — это точка входа пользовательских данных, неправильная их обработка — место происхождения многих серьёзных уязвимостей PHP, что делает их безопасную обработку фундаментальной ответственностью каждого разработчика на PHP. (Современные фреймворки, такие как Laravel, оборачивают суперглобалы в более безопасные абстракции запросов, но основной принцип никогда не доверять входным данным остаётся.)