Суперглобальные массивы в PHP: $_GET, $_POST, $_SERVER и другие — понятное руководство с примерами
Суперглобальные массивы в PHP — это предопределённые переменные, доступные в любой области видимости без global. Через них вы получаете входные данные из адресной строки, форм, заголовков, файлов, куки, сессий и окружения сервера. Понимание их различий — базовый навык каждого PHP‑разработчика.
Кратко: что такое суперглобалы
$_GET, $_POST, $_SERVER, $_COOKIE, $_SESSION, $_FILES, $_ENV, $_REQUEST.$_GET и $_POST: когда что использовать
$_GET содержит параметры строки запроса (после ? в URL). Идеально для фильтров, пагинации, поиска. $_POST передаёт данные тела запроса (обычно формы) и подходит для действий, меняющих состояние: создание, обновление, удаление.
<!-- form.html -->
<form action="/handle.php" method="post">
<label>Имя: <input type="text" name="name" required></label>
<label>Возраст: <input type="number" name="age" min="1" max="120" required></label>
<button type="submit">Отправить</button>
</form>
<?php
// handle.php
$method = $_SERVER['REQUEST_METHOD'] ?? 'GET';
if ($method !== 'POST') {
http_response_code(405);
exit('Method Not Allowed');
}
$name = trim($_POST['name'] ?? '');
$age = (int)($_POST['age'] ?? 0);
if ($name === '' || $age <= 0) {
exit('Некорректные данные');
}
// Безопасный вывод во избежание XSS
function e(string $s): string { return htmlspecialchars($s, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8'); }
echo 'Привет, ' . e($name) . '! Тебе ' . e((string)$age) . ' лет.';
Советы:
$_GET (например, ?page=2), для действий — $_POST.htmlspecialchars.Почему лучше избегать $_REQUEST
$_REQUEST смешивает данные из $_GET, $_POST и $_COOKIE (зависит от php.ini). Это удобно, но опасно: возникает неоднозначность источника и непредсказуемость. Явно выбирайте $_GET или $_POST — код станет понятнее и безопаснее.
<?php
// Плохо: источник неочевиден
$q = $_REQUEST['q'] ?? '';
// Хорошо: явно указываем источник
$q = trim($_GET['q'] ?? '');
$_SERVER: данные окружения запроса
$_SERVER хранит заголовки и переменные сервера. Полезные ключи:
REQUEST_METHOD — метод запроса.REQUEST_URI — путь и строка запроса.HTTP_HOST — домен.HTTPS — признак HTTPS (не всегда надёжен за прокси).HTTP_USER_AGENT — клиент (браузер).REMOTE_ADDR — IP клиента (за прокси может быть не тот).<?php
function server(string $key, $default = null) {
return $_SERVER[$key] ?? $default;
}
$method = server('REQUEST_METHOD', 'GET');
$uri = server('REQUEST_URI', '/');
$host = server('HTTP_HOST', 'localhost');
$https = !empty(server('HTTPS')) && server('HTTPS') !== 'off';
$scheme = $https ? 'https' : 'http';
$baseUrl = $scheme . '://' . $host;
echo "Метод: {$method}, URI: {$uri}, База: {$baseUrl}";
В продакшене учитывайте прокси: реальные IP/схему лучше определять через корректно настроенный веб‑сервер или доверенные заголовки (X-Forwarded-For, X-Forwarded-Proto) с учётом списка доверенных прокси.
$_COOKIE и $_SESSION: кратко о состоянии
$_COOKIE — данные, которые браузер отправляет на каждый запрос к домену. $_SESSION — серверное хранилище данных пользователя между запросами (требует session_start()).
<?php
// Куки (устанавливаются ДО вывода контента)
setcookie('theme', 'dark', [
'expires' => time() + 86400 * 30,
'path' => '/',
'secure' => true, // только по HTTPS
'httponly' => true, // недоступно JS
'samesite' => 'Lax',
]);
$theme = $_COOKIE['theme'] ?? 'light';
// Сессии
session_start();
$_SESSION['flash'] = 'Данные сохранены!';
echo $_SESSION['flash'] ?? '';
unset($_SESSION['flash']);
Сессии и куки — обширная тема. Здесь показаны базовые приёмы и безопасные флаги для cookie.
$_FILES и $_ENV: загрузки и переменные окружения
$_FILES содержит метаданные загруженных файлов: name, type, size, tmp_name, error. Для реальной загрузки файлов обязательно проверяйте тип/размер и используйте move_uploaded_file() (это отдельная тема).
$_ENV хранит переменные окружения процесса PHP. Удобно читать секреты и конфиги без захардкоживания:
<?php
$dbHost = $_ENV['DB_HOST'] ?? '127.0.0.1';
$dbName = $_ENV['DB_NAME'] ?? 'app';
// Часто переменные окружения загружают через .env (например, vlucas/phpdotenv)
Мини‑утилиты: безопасно читаем ввод
Сделаем небольшие помощники для чтения данных с приведением типов и значений по умолчанию.
<?php
function input_get(string $key, $default = null) {
return $_GET[$key] ?? $default;
}
function input_post(string $key, $default = null) {
return $_POST[$key] ?? $default;
}
function input_bool($value): bool {
if (is_bool($value)) return $value;
$value = strtolower(trim((string)$value));
return in_array($value, ['1','true','on','yes'], true);
}
function input_int($value, int $default = 0): int {
if ($value === null || $value === '') return $default;
return (int)$value;
}
function e(string $s): string { return htmlspecialchars($s, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8'); }
$page = input_int(input_get('page'), 1);
$q = trim((string)input_get('q', ''));
$onlyInStock = input_bool(input_get('in_stock'));
echo 'Страница: ' . e((string)$page) . ', Поиск: ' . e($q) . ', В наличии: ' . ($onlyInStock ? 'да' : 'нет');
Простой пример роутинга на $_SERVER и $_GET
Научимся разбирать путь и параметр действия. Это не фреймворк, а учебный пример для понимания, как работают суперглобалы в связке.
<?php
$uri = parse_url($_SERVER['REQUEST_URI'] ?? '/', PHP_URL_PATH) ?: '/';
$method = $_SERVER['REQUEST_METHOD'] ?? 'GET';
if ($uri === '/' && $method === 'GET') {
echo 'Главная';
} elseif ($uri === '/search' && $method === 'GET') {
$q = trim($_GET['q'] ?? '');
echo 'Результаты поиска по: ' . e($q);
} elseif ($uri === '/save' && $method === 'POST') {
$name = trim($_POST['name'] ?? '');
echo $name !== '' ? 'Сохранено: ' . e($name) : 'Имя пустое';
} else {
http_response_code(404);
echo 'Страница не найдена';
}
Мини‑пример защиты от CSRF для POST‑формы
CSRF‑токен хранится в сессии и передаётся в форме. На сервере сравниваем значение перед выполнением действия.
<?php
// form.php
session_start();
if (empty($_SESSION['csrf'])) {
$_SESSION['csrf'] = bin2hex(random_bytes(32));
}
$token = $_SESSION['csrf'];
?>
<form action="/post.php" method="post">
<input type="hidden" name="csrf" value="<?= htmlspecialchars($token, ENT_QUOTES, 'UTF-8') ?>">
<input type="text" name="title" required>
<button type="submit">Сохранить</button>
</form>
<?php
// post.php
session_start();
if (!hash_equals($_SESSION['csrf'] ?? '', $_POST['csrf'] ?? '')) {
http_response_code(419);
exit('CSRF token mismatch');
}
$title = trim($_POST['title'] ?? '');
echo $title ? 'OK: ' . htmlspecialchars($title, ENT_QUOTES, 'UTF-8') : 'Пустой заголовок';
Типичные ошибки и лучшие практики
$_REQUEST — выбирайте конкретный источник.htmlspecialchars).$_SERVER['REQUEST_METHOD'] и отвечайте 405 при несоответствии.REMOTE_ADDR без учёта прокси; настраивайте доверенные заголовки на уровне сервера.$_ENV) или менеджерах секретов, не в коде.Что дальше изучать
Освоив суперглобалы, переходите к шаблонам, роутингу, валидации, базам данных и архитектуре приложений. Хотите практики и системного подхода? Рекомендую пошаговый курс с реальными проектами —
Пройти курс «PHP и MySQL с Нуля до Гуру 3.0».
Теперь вы уверенно отличаете источники данных и безопасно их обрабатываете — это фундамент для любого PHP‑приложения, от микроскриптов до полноценных веб‑сервисов.
