怎么搞定PHP超级全局变量

发布时间：2021-10-18 12:13:49 作者：iii
来源：亿速云阅读：180

# 怎么搞定PHP超级全局变量

## 前言

PHP作为一门广泛应用于Web开发的脚本语言，其内置的超级全局变量（Superglobals）在开发过程中扮演着至关重要的角色。这些变量在脚本的全部作用域内都可用，无需特别声明或引入。本文将深入探讨PHP中的超级全局变量，包括它们的定义、常见类型、使用方法、安全注意事项以及最佳实践，帮助开发者更好地理解和运用这些强大的工具。

## 目录

1. [什么是超级全局变量](#什么是超级全局变量)
2. [常见的PHP超级全局变量](#常见的php超级全局变量)
   - [$_GET](#_get)
   - [$_POST](#_post)
   - [$_REQUEST](#_request)
   - [$_SERVER](#_server)
   - [$_SESSION](#_session)
   - [$_COOKIE](#_cookie)
   - [$_FILES](#_files)
   - [$_ENV](#_env)
   - [$GLOBALS](#globals)
3. [超级全局变量的使用场景](#超级全局变量的使用场景)
4. [安全注意事项](#安全注意事项)
5. [最佳实践](#最佳实践)
6. [常见问题解答](#常见问题解答)
7. [总结](#总结)

## 什么是超级全局变量

超级全局变量是PHP中预定义的变量，它们在脚本的所有作用域中自动可用，无需使用`global`关键字声明。这意味着无论是在函数内部、类方法中，还是全局作用域中，都可以直接访问这些变量。

与普通全局变量不同，超级全局变量不受作用域限制，且始终由PHP解释器维护。它们在PHP 4.1.0中引入，取代了旧的`$HTTP_*_VARS`数组，提供了更高效、更方便的数据访问方式。

## 常见的PHP超级全局变量

### $_GET

`$_GET`用于收集通过URL参数（查询字符串）提交的数据，通常用于GET请求。

```php
// 示例URL: http://example.com?name=John&age=25
echo $_GET['name']; // 输出: John
echo $_GET['age'];  // 输出: 25

特点： - 数据通过URL传递 - 有长度限制（取决于浏览器和服务器） - 数据可见，不适合传输敏感信息

$_POST

$_POST用于收集通过HTTP POST方法提交的表单数据。

// 假设表单使用POST方法提交了username和password字段
$username = $_POST['username'];
$password = $_POST['password'];

特点： - 数据通过HTTP请求体传输 - 没有明显的长度限制 - 数据不可见，适合传输敏感信息 - 需要设置表单的enctype属性

$_REQUEST

$_REQUEST是一个包含了$_GET、$_POST和$_COOKIE数据的数组。

// 无论数据来自GET、POST还是COOKIE，都可以通过$_REQUEST获取
$value = $_REQUEST['key'];

注意： - 不建议使用，因为来源不明确可能导致安全问题 - 可以通过php.ini中的request_order配置控制包含哪些数据

$_SERVER

$_SERVER包含了服务器和执行环境的信息。

echo $_SERVER['PHP_SELF'];    // 当前执行脚本的文件名
echo $_SERVER['SERVER_NAME']; // 服务器名称
echo $_SERVER['HTTP_HOST'];   // 主机头内容
echo $_SERVER['REMOTE_ADDR']; // 用户IP地址

常用元素： - REQUEST_METHOD: HTTP请求方法 - QUERY_STRING: 查询字符串 - HTTP_REFERER: 引荐页面 - HTTP_USER_AGENT: 用户代理信息

$_SESSION

$_SESSION用于存储和访问会话变量。

session_start();
$_SESSION['user'] = 'JohnDoe'; // 设置会话变量
echo $_SESSION['user'];        // 获取会话变量

特点： - 需要先调用session_start() - 数据存储在服务器端 - 通过会话ID识别客户端

$_COOKIE

$_COOKIE用于获取通过HTTP Cookie发送到服务器的数据。

setcookie("username", "JohnDoe", time()+3600); // 设置cookie
echo $_COOKIE['username'];                    // 获取cookie值

特点： - 数据存储在客户端 - 有大小限制（约4KB） - 可以设置过期时间

$_FILES

$_FILES用于处理通过HTTP POST方法上传的文件。

$uploaded_file = $_FILES['file']['tmp_name'];
$target_path = "uploads/" . $_FILES['file']['name'];
move_uploaded_file($uploaded_file, $target_path);

包含的信息： - name: 原始文件名 - type: 文件MIME类型 - size: 文件大小（字节） - tmp_name: 服务器上的临时文件名 - error: 错误代码

$_ENV

$_ENV包含通过环境方式传递给当前脚本的变量。

echo $_ENV['PATH']; // 显示系统PATH环境变量

注意： - 默认情况下可能被禁用 - 可以通过php.ini中的variables_order启用

$GLOBALS

$GLOBALS是一个包含了全局作用域中所有变量的数组。

$global_var = "Hello";
function test() {
    echo $GLOBALS['global_var']; // 访问全局变量
}

特点： - 可以替代global关键字 - 包含所有全局变量，包括用户定义的

超级全局变量的使用场景

表单处理：使用$_GET或$_POST处理用户输入
用户认证：使用$_SESSION管理用户登录状态
文件上传：使用$_FILES处理文件上传
URL路由：使用$_SERVER解析请求信息
环境配置：使用$_ENV获取环境变量
跨脚本通信：使用$_COOKIE在客户端存储少量数据

安全注意事项

输入验证：永远不要信任超级全局变量中的数据

$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);

防止SQL注入：使用预处理语句

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->execute([$_POST['username']]);

防止XSS攻击：输出时转义HTML

echo htmlspecialchars($_POST['comment'], ENT_QUOTES, 'UTF-8');

CSRF防护：使用令牌验证表单提交

if ($_POST['csrf_token'] !== $_SESSION['csrf_token']) {
   die("CSRF token validation failed");
}

文件上传安全：
- 验证文件类型
- 限制文件大小
- 重命名上传的文件
- 存储在Web根目录之外

最佳实践

优先使用特定超级全局变量：避免使用$_REQUEST，明确使用$_GET或$_POST
尽早过滤输入：在接收数据时立即进行验证和过滤
延迟输出：只在需要输出时进行转义
使用常量或配置：将重复使用的值存储为常量
```
define('MAX_UPLOAD_SIZE', 1024 * 1024 * 5); // 5MB
```

封装访问逻辑：创建辅助函数处理常见操作

function get_post($key, $default = null) {
   return isset($_POST[$key]) ? $_POST[$key] : $default;
}

错误处理：检查变量是否存在

$page = isset($_GET['page']) ? (int)$_GET['page'] : 1;

常见问题解答

Q: $_GET和$_POST有什么区别？ A: $_GET通过URL传递数据，有长度限制且可见；$_POST通过请求体传递数据，没有明显长度限制且不可见。

Q: 为什么我的$_SESSION变量不工作？ A: 确保在使用$_SESSION前调用了session_start()，并且没有输出任何内容到浏览器。

Q: 如何安全地处理文件上传？ A: 验证文件类型、大小，使用is_uploaded_file()检查，并使用move_uploaded_file()移动到安全位置。

Q: $_REQUEST安全吗？ A: 不建议使用$_REQUEST，因为它混合了GET、POST和COOKIE数据，可能导致安全漏洞。

Q: 如何防止XSS攻击？ A: 使用htmlspecialchars()函数转义输出到HTML的内容。

总结

PHP的超级全局变量为Web开发提供了强大的工具，但同时也带来了安全挑战。通过理解每种超级全局变量的特性和适用场景，遵循安全最佳实践，开发者可以构建既强大又安全的Web应用程序。记住：

永远不要信任用户输入
明确数据的来源（GET/POST/COOKIE等）
在适当的时候进行验证、过滤和转义
使用专门的函数处理特定任务
保持PHP版本更新以获得最新的安全修复

通过合理使用超级全局变量，结合良好的编程习惯，你可以轻松搞定PHP开发中的各种数据交互需求，同时确保应用程序的安全性和可靠性。 “`

这篇文章大约3700字，涵盖了PHP超级全局变量的各个方面，包括定义、类型、使用场景、安全注意事项和最佳实践。文章采用Markdown格式，包含代码示例和清晰的章节划分，便于阅读和理解。