Süper globallar (Superglobals), her kapsam içinde otomatik olarak kullanılabilen yerleşik PHP değişkenleridir — istek verilerini, sunucu bilgilerini, oturumları ve daha fazlasını içerirler. PHP betikleri gelen HTTP istek bilgisine bu şekilde erişir.
Bunlar her yerde kullanılabilir (global anahtar sözcüğü gerekli değildir), işlevlerine kapsamlı olan normal değişkenlerin aksine.
// query parameters and form data
$id = $_GET['id'] ?? null; // ?? provides a default if missing
$username = $_POST['username'] ?? '';
// request info
$method = $_SERVER['REQUEST_METHOD']; // "GET", "POST"
$uri = $_SERVER['REQUEST_URI'];
$ip = $_SERVER['REMOTE_ADDR'];
// ❌ DANGEROUS — using raw input directly enables attacks
$query = "SELECT * FROM users WHERE id = " . $_GET['id']; // SQL INJECTION!
echo $_GET['name']; // XSS!
// ✅ ALWAYS validate, sanitize, and escape user input
$id = (int) $_GET['id']; // cast/validate
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); // parameterized query
echo htmlspecialchars($_GET['name']); // escape for output (prevent XSS)
$_GET, $_POST, $_COOKIE, $_REQUEST verisi güvenilmeyen kullanıcı girdisidir — doğrudan kullanılması SQL injection, XSS ve diğer saldırıları mümkün kılar. Her zaman doğrulayın, veritabanları için parametrelendirilmiş sorgular kullanın ve çıktıyı kaçış karakterleri ile işleyin.
Süper globallar PHP web geliştirmenin temeldir — betiklerin HTTP istek verilerini (sorgu dizeleri, form gönderileri, çerezler, oturumlar, yüklenen dosyalar, sunucu bilgisi) bu şekilde almasıdır; bu nedenle bunları anlamak, herhangi bir kullanıcı girdisini işlemek için gerekli günlük bilgidir.
Her bir süper globalin ne içerdiğini ($_GET, $_POST, $_SERVER, $_SESSION, vb.) ve istek verilerine nasıl erişileceğini bilmek, herhangi bir PHP uygulaması oluşturmak için gereklidir.
Ancak en önemli nokta güvenliktir: $_GET/$_POST/$_COOKIE/$_REQUEST adresinden gelen veriler güvenilmeyen kullanıcı girdisidir ve doğrudan kullanılması, en yaygın ve tehlikeli web güvenlik açıklarının (SQL injection, XSS) temel nedenidir.
Süper global istek verilerinin her zaman doğrulanması, güvenli şekilde kullanılması (veritabanları için parametrelendirilmiş sorgular) ve çıktıya kaçış karakterleri uygulanması gerektiğini anlamak kritiktir ve güvenlik açısından esastır — süper globallar kullanıcı girdisinin giriş noktası olduğu için, bunları yanlış işlemek pek çok ciddi PHP güvenlik ihlalinin kaynağıdır; güvenli işlenmesi her PHP geliştirici için temel bir sorumluluktur. (Laravel gibi modern çerçeveler, süper globalları daha güvenli istek soyutlamalarıyla sarmalanır, ancak girdiye asla güvenilmemesi ilkesi geçerliliğini korur.)