Kaj so PHP superglobalne spremenljivke?

Question

Accepted Answer

**Superglobalne spremenljivke** so vgrajene PHP spremenljivke, ki so **samodejno dostopne v vsakem obsegu** — vsebujejo podatke zahtevka, informacije strežnika, seje in še več. To je način, kako PHP skripta dostopa do podatkov dohodne HTTP zahtevke.

## Glavne superglobalne spremenljivke

```php
<?php
$_GET       // query string parameters:  /page?id=5 → $_GET['id']
$_POST      // form POST data:            $_POST['username']
$_REQUEST   // combined GET + POST + COOKIE (avoid — ambiguous)
$_SERVER    // server/request info:       $_SERVER['REQUEST_METHOD'], ['HTTP_HOST']
$_SESSION   // session data (persists across requests)
$_COOKIE    // cookies sent by the browser
$_FILES     // uploaded files
$_ENV       // environment variables
$GLOBALS    // all global variables
```

Te so dostopne povsod (ni potrebna ključna beseda `global`), za razliko od običajnih spremenljivk, ki so omejene na obseg funkcije.

## Dostop do podatkov zahtevka

```php
// query parameters and form data
$id = $_GET['id'] ?? null;             // ?? provides a default if missing
$username = $_POST['username'] ?? '';

// request info
$method = $_SERVER['REQUEST_METHOD'];   // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
```

## KRITIČNO opozorilo o varnosti: nikoli ne zaupaj podatkom iz superglobalnih spremenljivk

```php
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id'];   // SQL INJECTION!
echo $_GET['name'];                                          // XSS!

// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id'];                          // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");   // parameterized query
echo htmlspecialchars($_GET['name']);             // escape for output (prevent XSS)
```

**Podatki iz `$_GET`, `$_POST`, `$_COOKIE`, `$_REQUEST` so neobdelani vhod uporabnika** — njihova direktna uporaba omogoča SQL injection, XSS in druge napade. Vedno preveri podatke, uporabi parametrizirane poizvedbe za podatkovne baze in pobegaj izhod.

## Zakaj je to pomembno

Superglobalne spremenljivke so temelj PHP spletnega razvoja — to je način, kako skripta prejme podatke HTTP zahtevke (poizvedovalne nize, pošiljanja obrazcev, piškotke, seje, naložene datoteke, informacije strežnika), zato je razumevanje teh spremenljivk bistveno vsakodnevno znanje za obravnavo katerega koli vhoda uporabnika.

Znanje, kaj vsaka superglobalna spremenljivka vsebuje (`$_GET`, `$_POST`, `$_SERVER`, `$_SESSION` itd.) in kako dostopati do podatkov zahtevka, je potrebno za izdelavo katere koli PHP aplikacije.

Ampak **najbolj važna točka je varnost**: podatki iz `$_GET`/`$_POST`/`$_COOKIE`/`$_REQUEST` so **neobdelani vhod uporabnika**, in njihova direktna uporaba je osnovna vzrok najpogostejših in najbolj nevarnih spletnih ranljivosti (SQL injection, XSS).

Razumevanje, da morajo biti podatki iz superglobalnih spremenljivk zahtevka **vedno** prevereni, varno uporabljeni (parametrizirane poizvedbe za podatkovne baze) in pobegnili pri izhodu, je kritično, varnostno bistveno znanje — ker so superglobalne spremenljivke vstopna točka za vhod uporabnika, nepravilna obravnava je место, kjer imajo svoje izvor številni resni varnostni preboji PHP, kar varno obravnavo njih naredi temeljno odgovornost vsakega PHP razvijalca. (Sodobni okviri, kot je Laravel, superglobalne spremenljivke zavijejo v varnejše abstrakcije zahtevkov, a osnovno načelo nikoli ne zaupaj vhodu ostaja.)