Biến toàn cục đặc biệt có sẵn trong PHP

PHP Tutorial | 05/07/2025 by Học PHP

Làm thế nào để PHP nhận biết được dữ liệu mà người dùng gửi từ trình duyệt, thông tin về máy chủ đang chạy ứng dụng, hay lưu trữ trạng thái của người dùng qua nhiều trang? Câu trả lời nằm ở các biến toàn cục đặc biệt, hay còn gọi là Superglobals.

Các biến Superglobals là những mảng đã được định nghĩa sẵn bởi PHP và luôn có sẵn ở mọi phạm vi trong mã của bạn, nghĩa là bạn có thể truy cập chúng trực tiếp từ bất kỳ đâu trong script mà không cần khai báo hay sử dụng từ khóa global. Chúng đóng vai trò như những "cổng thông tin" chính, giúp PHP thu thập và xử lý các loại dữ liệu quan trọng đến từ yêu cầu HTTP, môi trường máy chủ, cookie, session và các file được tải lên. Hiểu rõ và sử dụng thành thạo các biến Superglobals không chỉ giúp bạn xây dựng các ứng dụng web tương tác mà còn là yếu tố then chốt để đảm bảo tính bảo mật và hiệu quả của mã nguồn. Hãy cùng tim hiểu những biến đặc biệt này và công dụng của chúng!

Biến Toàn Cục và Biến Toàn Cục Đặc Biệt (Superglobals) Trong PHP

Trong lập trình PHP, việc quản lý và truy cập dữ liệu trong các phạm vi khác nhau là rất quan trọng. Đây là lúc khái niệm về biến toàn cục và đặc biệt là biến toàn cục đặc biệt (Superglobals) trở nên thiết yếu.

Biến Toàn Cục Là Gì?

Một biến toàn cục (global variable) là một biến được khai báo bên ngoài bất kỳ hàm hay lớp nào. Điều này có nghĩa là nó có thể được truy cập và sửa đổi từ bất kỳ đâu trong script PHP của bạn, bao gồm cả bên trong các hàm hoặc phương thức của lớp, nhưng với một điều kiện.

Cách thức hoạt động: Khi một biến được khai báo ở phạm vi toàn cục, nó không tự động có sẵn bên trong các hàm. Để truy cập một biến toàn cục từ bên trong một hàm, bạn cần sử dụng từ khóa global hoặc truy cập thông qua mảng $GLOBALS.

Ví dụ code minh họa:

<?php
$message = "Xin chào từ phạm vi toàn cục!"; // Biến toàn cục

function showGlobalMessage() {
    // Cách 1: Sử dụng từ khóa global
    global $message;
    echo "Trong hàm (global): " . $message . "<br>"; // Output: Trong hàm (global): Xin chào từ phạm vi toàn cục!

    // Cách 2: Sử dụng mảng $GLOBALS
    echo "Trong hàm (\$GLOBALS): " . $GLOBALS['message'] . "<br>"; // Output: Trong hàm ($GLOBALS): Xin chào từ phạm vi toàn cục!
}

showGlobalMessage();
echo "Ngoài hàm: " . $message . "<br>"; // Output: Ngoài hàm: Xin chào từ phạm vi toàn cục!
?>

Biến Toàn Cục Đặc Biệt (Superglobals) Là Gì?

Biến toàn cục đặc biệt (Superglobals) là một nhóm các biến có sẵn được PHP tự động tạo và duy trì. Điểm đặc biệt của chúng là luôn có sẵn ở mọi phạm vi trong script của bạn, mà không cần sử dụng từ khóa global hay truy cập thông qua $GLOBALS. Chúng là các mảng kết hợp và chứa thông tin quan trọng về môi trường thực thi, yêu cầu HTTP, session, cookie, v.v.

Đặc điểm nổi bật:

Luôn có sẵn: Bạn có thể truy cập chúng trực tiếp từ bất kỳ đâu trong mã, dù là trong hàm, lớp hay đoạn mã chính.
Là mảng kết hợp: Dữ liệu trong các Superglobals được lưu trữ dưới dạng cặp khóa-giá trị, giúp bạn dễ dàng truy cập thông tin cụ thể.

. Tầm Quan Trọng Của Biến Toàn Cục Đặc Biệt

Các Superglobals đóng vai trò cực kỳ thiết yếu trong việc phát triển ứng dụng web với PHP vì chúng là cách chính để PHP tương tác và nhận dữ liệu từ môi trường bên ngoài:

. Thu Thập Dữ Liệu Từ Môi Trường Web (Trình Duyệt & Server)

Superglobals giúp PHP "lắng nghe" và hiểu được những gì đang diễn ra trong một yêu cầu HTTP.

Dữ liệu gửi từ Trình duyệt:

Form submissions: Khi người dùng điền và gửi một biểu mẫu HTML, dữ liệu đó sẽ được PHP nhận thông qua $_GET (nếu phương thức là GET) hoặc $_POST (nếu phương thức là POST).
Tham số URL (Query Strings): Mọi tham số bạn thấy sau dấu ? trên URL đều được thu thập vào $_GET.
Cookies: Thông tin nhỏ được lưu trữ trên trình duyệt của người dùng (như tùy chọn ngôn ngữ, trạng thái đăng nhập) được gửi trở lại server thông qua $_COOKIE.

Thông tin về Server:

$_SERVER cung cấp một lượng lớn thông tin chi tiết về môi trường máy chủ (ví dụ: địa chỉ IP của client, tên miền, đường dẫn file script đang chạy, thông tin trình duyệt của người dùng).File Uploads: Khi người dùng tải lên file (ví dụ: ảnh, tài liệu), $_FILES sẽ chứa tất cả các thông tin cần thiết về file đó (tên, loại, kích thước, đường dẫn tạm thời).

Duy Trì Trạng Thái Giữa Các Trang (Sessions)

Mặc định, HTTP là giao thức "không trạng thái" (stateless), nghĩa là server không nhớ gì về các yêu cầu trước đó. $_SESSION là Superglobal quan trọng giúp PHP khắc phục điều này.

$_SESSION: Cho phép bạn lưu trữ dữ liệu người dùng (ví dụ: trạng thái đăng nhập, giỏ hàng) trên server và truy cập lại dữ liệu đó trong suốt phiên làm việc của người dùng, qua nhiều trang khác nhau.

Cung Cấp Thông Tin Chung Về Môi Trường PHP

Các Superglobals khác như $_ENV (biến môi trường của hệ thống) hay $_REQUEST (kết hợp của GET, POST, COOKIE) cung cấp thêm các lớp thông tin khác, mặc dù ít được dùng trực tiếp hơn trong các tình huống hàng ngày so với các biến chính.

Các Biến Toàn Cục Đặc Biệt Phổ Biến và Công Dụng trong PHP

PHP cung cấp một tập hợp các biến toàn cục đặc biệt (Superglobals) được tích hợp sẵn, đóng vai trò quan trọng trong việc thu thập và quản lý dữ liệu từ môi trường web. Mỗi Superglobal có một mục đích cụ thể, giúp bạn tương tác hiệu quả với các yêu cầu HTTP, thông tin máy chủ và dữ liệu phiên người dùng.

`$_GET`

Mục đích: $_GET là một mảng kết hợp dùng để thu thập dữ liệu được gửi đến từ URL (query string) hoặc từ các form HTML với phương thức GET. Dữ liệu này hiển thị rõ trên thanh địa chỉ của trình duyệt.

Khi nào dùng? Khi bạn muốn truyền dữ liệu không nhạy cảm giữa các trang, hoặc khi người dùng muốn đánh dấu (bookmark) một trang có chứa các tham số cụ thể (ví dụ: kết quả tìm kiếm, trang sản phẩm).

Ví dụ:

URL: https://example.com/index.php?product_id=123&category=electronics
Code PHP:

<?php
echo "<h3>1. `\$_GET`</h3>";
echo "URL ví dụ: https://example.com/index.php?product_id=123&category=electronics<br>";

// Kiểm tra xem khóa 'product_id' và 'category' có tồn tại trong $_GET hay không
if (isset($_GET['product_id'])) {
    $productId = $_GET['product_id'];
    echo "ID sản phẩm: " . htmlspecialchars($productId) . "<br>"; // Output: ID sản phẩm: 123
} else {
    echo "Không tìm thấy ID sản phẩm.<br>";
}

if (isset($_GET['category'])) {
    $category = $_GET['category'];
    echo "Danh mục: " . htmlspecialchars($category) . "<br>"; // Output: Danh mục: electronics
}
?>

`$_POST`

Mục đích: $_POST là một mảng kết hợp dùng để thu thập dữ liệu được gửi đến từ form HTML với phương thức POST. Dữ liệu này không hiển thị trên URL và thường được dùng cho thông tin nhạy cảm hoặc khi dữ liệu quá lớn.

Khi nào dùng? Khi bạn xử lý các biểu mẫu đăng nhập, đăng ký, gửi bài viết, hoặc bất kỳ dữ liệu nào bạn không muốn hiển thị công khai trên URL.

Ví dụ:

HTML Form (index.html):

<form action="process.php" method="post">
    Tên đăng nhập: <input type="text" name="username"><br>
    Mật khẩu: <input type="password" name="password"><br>
    <input type="submit" value="Đăng nhập">
</form>

Code PHP (process.php):

<?php
echo "<h3>2. `\$_POST`</h3>";
// process.php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
    if (isset($_POST['username']) && isset($_POST['password'])) {
        $username = $_POST['username'];
        $password = $_POST['password']; // Lưu ý: Không bao giờ lưu mật khẩu dưới dạng văn bản thuần!
        echo "Tên đăng nhập: " . htmlspecialchars($username) . "<br>";
        echo "Mật khẩu (không nên hiển thị): " . htmlspecialchars($password) . "<br>";
    } else {
        echo "Vui lòng nhập đầy đủ tên đăng nhập và mật khẩu.";
    }
}
?>

`$_REQUEST`

Mục đích: $_REQUEST là một mảng kết hợp chứa dữ liệu từ $_GET, $_POST và $_COOKIE. Thứ tự ưu tiên mặc định là POST, GET, sau đó là COOKIE (có thể cấu hình trong php.ini bằng request_order).
Lưu ý quan trọng: Mặc dù tiện lợi, nhưng thường không khuyến khích sử dụng $_REQUEST nếu bạn biết chính xác dữ liệu đến từ đâu. Việc sử dụng $_REQUEST có thể gây nhầm lẫn về nguồn gốc dữ liệu và tiềm ẩn lỗ hổng bảo mật, ví dụ như một kẻ tấn công có thể ghi đè biến POST bằng biến GET.

Ví dụ:

<?php
echo "<h3>3. `\$_REQUEST`</h3>";
// Giả sử có một yêu cầu với cả GET và POST
// URL: process.php?name=get_name
// Dữ liệu POST: name=post_name
$_GET['name'] = 'get_name';
$_POST['name'] = 'post_name';
// setcookie('name', 'cookie_name'); // Cần gửi cookie từ trình duyệt

echo "Giá trị 'name' từ \$_REQUEST: " . htmlspecialchars($_REQUEST['name']) . "<br>";
// Output: Giá trị 'name' từ $_REQUEST: post_name (vì POST ưu tiên hơn GET mặc định)
echo "Giá trị 'name' từ \$_GET: " . htmlspecialchars($_GET['name']) . "<br>";
echo "Giá trị 'name' từ \$_POST: " . htmlspecialchars($_POST['name']) . "<br>";
?>

`$_SERVER`

Mục đích: $_SERVER là một mảng kết hợp chứa một lượng lớn thông tin về môi trường server và môi trường thực thi hiện tại của script.
Khi nào dùng? Để lấy thông tin như địa chỉ IP của client, URL của trang hiện tại, phương thức yêu cầu (GET/POST), tên máy chủ, trình duyệt của người dùng, v.v.
Ví dụ:

<?php
echo "<h3>4. `\$_SERVER`</h3>";
echo "IP của người dùng: " . htmlspecialchars($_SERVER['REMOTE_ADDR']) . "<br>";
echo "Tên file script hiện tại: " . htmlspecialchars($_SERVER['PHP_SELF']) . "<br>";
echo "Phương thức yêu cầu HTTP: " . htmlspecialchars($_SERVER['REQUEST_METHOD']) . "<br>";
echo "Tên máy chủ: " . htmlspecialchars($_SERVER['SERVER_NAME']) . "<br>";
echo "User Agent (Trình duyệt của người dùng): " . htmlspecialchars($_SERVER['HTTP_USER_AGENT']) . "<br>";
echo "Toàn bộ mảng \$_SERVER:<br>";
echo "<pre>"; print_r($_SERVER); echo "</pre>";
?>

`$_SESSION`

Mục đích: $_SESSION là một mảng kết hợp dùng để lưu trữ dữ liệu phiên (session data) của một người dùng cụ thể. Dữ liệu này được lưu trữ trên server và có thể truy cập được trên nhiều trang khác nhau trong suốt phiên làm việc của người dùng.
Lưu ý quan trọng: Bạn phải gọi hàm session_start() ở đầu mỗi script PHP nơi bạn muốn sử dụng hoặc truy cập dữ liệu session.
Khi nào dùng? Để duy trì trạng thái đăng nhập của người dùng, giỏ hàng trực tuyến, tùy chọn cá nhân, hoặc bất kỳ dữ liệu nào cần được lưu giữ qua các yêu cầu trang khác nhau mà không cần truyền qua URL hay form.

Ví dụ:

login.php (thiết lập session):

<?php
echo "<h3>5. `\$_SESSION`</h3>";
session_start(); // Bắt đầu hoặc tiếp tục phiên làm việc
$_SESSION['username'] = 'Alice';
$_SESSION['user_id'] = 123;
echo "Session đã được thiết lập. Kiểm tra 'profile.php'.<br>";
?>

profile.php (truy cập session):

<?php
session_start(); // Bắt đầu hoặc tiếp tục phiên làm việc

if (isset($_SESSION['username'])) {
    echo "Chào mừng, " . htmlspecialchars($_SESSION['username']) . "!<br>";
    echo "ID người dùng: " . htmlspecialchars($_SESSION['user_id']) . "<br>";
} else {
    echo "Bạn chưa đăng nhập.<br>";
}

// Để xóa một biến session
// unset($_SESSION['username']);
// Để hủy toàn bộ session
// session_destroy();
?>

`$_COOKIE`

Mục đích: $_COOKIE là một mảng kết hợp chứa dữ liệu của các cookie được gửi từ trình duyệt của người dùng đến server trong yêu cầu HTTP. Cookie là các tệp nhỏ được server gửi đến trình duyệt và lưu trữ trên máy tính của người dùng.
Lưu ý quan trọng: Để tạo (gửi) một cookie từ server đến trình duyệt, bạn phải sử dụng hàm setcookie() trước khi bất kỳ đầu ra nào được gửi đến trình duyệt (trước <html> hoặc echo).
Khi nào dùng? Để lưu trữ các tùy chọn người dùng (ví dụ: chủ đề giao diện, ngôn ngữ), thông tin giỏ hàng tạm thời, hoặc các mã định danh người dùng để theo dõi.

Ví dụ:

set_cookie.php (tạo cookie):

<?php
echo "<h3>6. `\$_COOKIE`</h3>";
// Đặt cookie tên 'language' với giá trị 'vietnamese' hết hạn sau 1 giờ (3600 giây)
setcookie("language", "vietnamese", time() + (3600), "/");
echo "Cookie 'language' đã được đặt. Vui lòng tải lại trang hoặc truy cập 'get_cookie.php'.<br>";
?>

get_cookie.php (truy cập cookie):

<?php
if (isset($_COOKIE['language'])) {
    echo "Ngôn ngữ của bạn là: " . htmlspecialchars($_COOKIE['language']) . "<br>"; // Output: Ngôn ngữ của bạn là: vietnamese
} else {
    echo "Không tìm thấy cookie 'language'.<br>";
}
?>

`$_FILES`

Mục đích: $_FILES là một mảng kết hợp đặc biệt dùng để thu thập thông tin về các file được tải lên thông qua form HTML (với thuộc tính enctype="multipart/form-data").
Khi nào dùng? Khi bạn muốn cho phép người dùng tải lên ảnh, tài liệu, video hoặc bất kỳ loại file nào khác lên server.
Cấu trúc: Mỗi file được tải lên sẽ là một mảng con trong $_FILES, chứa các thông tin như name (tên gốc), type (kiểu MIME), tmp_name (đường dẫn file tạm thời), error (mã lỗi), size (kích thước tính bằng byte).

Ví dụ:

HTML Form (upload.html):

<form action="handle_upload.php" method="post" enctype="multipart/form-data">
    Chọn ảnh đại diện: <input type="file" name="profile_picture"><br>
    <input type="submit" value="Tải lên">
</form>

Code PHP (handle_upload.php):

<?php
echo "<h3>7. `\$_FILES`</h3>";
// handle_upload.php
if ($_SERVER['REQUEST_METHOD'] == 'POST' && isset($_FILES['profile_picture'])) {
    $file = $_FILES['profile_picture'];

    echo "Thông tin file đã tải lên:<br>";
    echo "Tên gốc: " . htmlspecialchars($file['name']) . "<br>";
    echo "Kiểu: " . htmlspecialchars($file['type']) . "<br>";
    echo "Kích thước: " . htmlspecialchars($file['size']) . " bytes<br>";
    echo "Tên tạm thời: " . htmlspecialchars($file['tmp_name']) . "<br>";
    echo "Mã lỗi: " . htmlspecialchars($file['error']) . "<br>";

    // Để lưu file:
    // if ($file['error'] === UPLOAD_ERR_OK) {
    //     $uploadDir = 'uploads/';
    //     $uploadFile = $uploadDir . basename($file['name']);
    //     if (move_uploaded_file($file['tmp_name'], $uploadFile)) {
    //         echo "File đã được tải lên thành công vào: " . $uploadFile . "<br>";
    //     } else {
    //         echo "Có lỗi khi di chuyển file.<br>";
    //     }
    // } else {
    //     echo "Lỗi tải file: " . $file['error'] . "<br>";
    // }
}
?>

`$_ENV`

Mục đích: $_ENV là một mảng kết hợp chứa các biến môi trường của server nơi script PHP đang chạy. Các biến môi trường này thường được thiết lập bởi hệ điều hành hoặc phần mềm máy chủ web (Apache, Nginx).
Lưu ý: Việc PHP điền dữ liệu vào $_ENV phụ thuộc vào cấu hình php.ini (variables_order) và cách máy chủ web được cấu hình. Trong nhiều trường hợp, bạn có thể thấy $_SERVER cũng chứa nhiều biến môi trường tương tự. $_ENV thường ít được sử dụng trực tiếp trong code ứng dụng thông thường so với các Superglobal khác.
Ví dụ:

<?php
echo "<h3>8. `\$_ENV`</h3>";
echo "Thông tin về biến môi trường (nếu có):<br>";
if (isset($_ENV['PATH'])) {
    echo "PATH môi trường: " . htmlspecialchars($_ENV['PATH']) . "<br>";
} else {
    echo "Biến môi trường 'PATH' không có sẵn trong \$_ENV.<br>";
}
echo "Toàn bộ mảng \$_ENV (nếu có):<br>";
echo "<pre>"; print_r($_ENV); echo "</pre>";
?>

Cách Sử Dụng và Lưu Ý An Toàn Khi Làm Việc Với Superglobals trong PHP

Việc hiểu cách các biến Superglobals hoạt động là rất quan trọng, nhưng việc sử dụng chúng một cách an toàn và hiệu quả còn quan trọng hơn. Dưới đây là những hướng dẫn cơ bản để bạn làm chủ việc này.

Truy Cập Dữ Liệu Từ Superglobals

Các biến Superglobals như $_GET, $_POST, $_SESSION, $_COOKIE, $_SERVER, $_FILES, $_ENV, và $_REQUEST đều là các mảng kết hợp. Điều này có nghĩa là bạn truy cập các giá trị bên trong chúng bằng cách sử dụng các khóa (key) tương ứng.

Sử dụng như một mảng kết hợp: Bạn dùng cú pháp $_TEN_SUPERGLOBAL['tên_khóa'] để lấy giá trị.

<?php
// Ví dụ: Giả sử URL là index.php?product_id=456
$_GET['product_id'] = '456';

// Giả sử dữ liệu POST từ form có trường 'username'
$_POST['username'] = 'john_doe';

// Truy cập dữ liệu
$productId = $_GET['product_id'];
$username = $_POST['username'];

echo "ID Sản phẩm: " . $productId . "<br>";
echo "Tên người dùng: " . $username . "<br>";
?>

Luôn kiểm tra sự tồn tại của khóa trước khi truy cập (isset()): Đây là một quy tắc vàng khi làm việc với bất kỳ dữ liệu nào mà bạn không thể chắc chắn về sự tồn tại của nó (như dữ liệu từ người dùng gửi lên). Nếu bạn cố gắng truy cập một khóa không tồn tại trong mảng, PHP sẽ sinh ra một lỗi cấp độ Undefined index (thường là một thông báo lỗi Notice hoặc Warning), có thể làm ứng dụng của bạn trông không chuyên nghiệp hoặc thậm chí gây ra lỗi ngừng hoạt động nếu cấu hình hiển thị lỗi quá chặt chẽ.

Hàm isset() kiểm tra xem một biến có được thiết lập (tồn tại và không phải NULL) hay không.

<?php
// Ví dụ về việc không kiểm tra:
// echo $_GET['non_existent_key']; // Sẽ gây ra lỗi "Undefined index: non_existent_key" nếu khóa này không có trên URL

echo "<h4>Kiểm tra sự tồn tại với `isset()`</h4>";

// Ví dụ với $_GET
// Giả sử URL: index.php?item_id=789
$_GET['item_id'] = '789';

if (isset($_GET['item_id'])) {
    $itemId = $_GET['item_id'];
    echo "Item ID: " . $itemId . "<br>";
} else {
    echo "Item ID không được cung cấp.<br>";
}

if (isset($_GET['search_query'])) { // Giả sử search_query không có trên URL
    $searchQuery = $_GET['search_query'];
    echo "Tìm kiếm: " . $searchQuery . "<br>";
} else {
    echo "Không có truy vấn tìm kiếm.<br>"; // Output: Không có truy vấn tìm kiếm.
}

// Ví dụ với $_POST
// Giả sử có form POST gửi username và email
$_POST['user_name'] = 'alice';
$_POST['user_email'] = '[email protected]';

if (isset($_POST['user_name']) && isset($_POST['user_email'])) {
    $userName = $_POST['user_name'];
    $userEmail = $_POST['user_email'];
    echo "Người dùng: " . $userName . ", Email: " . $userEmail . "<br>";
} else {
    echo "Dữ liệu người dùng không đầy đủ.<br>";
}

if (isset($_POST['phone'])) { // Giả sử trường 'phone' không được gửi từ form
    $phone = $_POST['phone'];
    echo "Số điện thoại: " . $phone . "<br>";
} else {
    echo "Số điện thoại không được cung cấp.<br>"; // Output: Số điện thoại không được cung cấp.
}
?>

Lưu Ý Bảo Mật (Cực Kỳ Quan Trọng)

Đây là khía cạnh quan trọng nhất khi xử lý dữ liệu từ Superglobals, vì phần lớn dữ liệu này đến từ người dùng hoặc môi trường bên ngoài mà bạn không thể kiểm soát hoàn toàn. Không bao giờ tin tưởng dữ liệu người dùng!

Nguyên tắc vàng: Luôn luôn lọc (filter), kiểm tra (validate) và làm sạch (sanitize) dữ liệu trước khi bạn:

Không tuân thủ nguyên tắc này có thể dẫn đến các lỗ hổng bảo mật nghiêm trọng như Cross-Site Scripting (XSS) và SQL Injection.

Hiển thị ra màn hình cho người dùng khác.
Lưu vào cơ sở dữ liệu.
Sử dụng trong các câu lệnh SQL, đường dẫn file, hoặc các lệnh hệ thống.

Các hàm làm sạch (Sanitization) và kiểm tra (Validation) phổ biến:

htmlspecialchars(): Chuyển đổi các ký tự đặc biệt trong HTML (<, >, ", ', &) thành các thực thể HTML. Điều này ngăn chặn việc trình duyệt diễn giải các đoạn mã độc hại được chèn vào. Đây là hàm bắt buộc phải dùng khi hiển thị dữ liệu ra HTML.

<?php
echo "<h4>Lưu ý Bảo Mật: `htmlspecialchars()`</h4>";
// Giả sử người dùng nhập một đoạn script độc hại vào trường 'comment'
$_POST['comment'] = "<script>alert('Bạn đã bị tấn công XSS!');</script>";
echo "Dữ liệu gốc từ người dùng: " . $_POST['comment'] . "<br>";

// Sai cách (nguy hiểm XSS):
// echo "Bình luận (không an toàn): " . $_POST['comment'] . "<br>";

// Đúng cách (an toàn):
echo "Bình luận (an toàn với htmlspecialchars): " . htmlspecialchars($_POST['comment']) . "<br>";
// Output: Bình luận (an toàn với htmlspecialchars): &lt;script&gt;alert('Bạn đã bị tấn công XSS!');&lt;/script&gt;
// Trình duyệt sẽ hiển thị dưới dạng văn bản, không chạy mã script.
?>

strip_tags(): Loại bỏ các thẻ HTML và PHP khỏi một chuỗi. Nó hữu ích khi bạn muốn đảm bảo chỉ có văn bản thuần túy được lưu trữ hoặc hiển thị.

<?php
echo "<h4>Lưu ý Bảo Mật: `strip_tags()`</h4>";
$userInput = "Đây là một <b>bình luận</b> với <i>thẻ HTML</i>.";
echo "Input gốc: " . $userInput . "<br>";

$cleanedInput = strip_tags($userInput);
echo "Input sau strip_tags(): " . $cleanedInput . "<br>"; // Output: Đây là một bình luận với thẻ HTML.
?>

filter_var(): Một hàm rất linh hoạt và được khuyến nghị để lọc và kiểm tra dữ liệu. Nó hỗ trợ nhiều bộ lọc và cờ (flags) để xác thực email, URL, số nguyên, số thực, v.v.

<?php
echo "<h4>Lưu ý Bảo Mật: `filter_var()`</h4>";

// Kiểm tra và làm sạch email
$email = "[email protected]";
if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    echo "Email hợp lệ: " . $email . "<br>";
} else {
    echo "Email không hợp lệ: " . $email . "<br>";
}

$badEmail = "invalid-email";
if (filter_var($badEmail, FILTER_VALIDATE_EMAIL)) {
    echo "Email hợp lệ: " . $badEmail . "<br>";
} else {
    echo "Email không hợp lệ: " . $badEmail . "<br>"; // Output: Email không hợp lệ: invalid-email
}

// Làm sạch một chuỗi để ngăn chặn script
$rawString = "Hello <script>alert('XSS');</script> World!";
$sanitizedString = filter_var($rawString, FILTER_SANITIZE_STRING); // Lưu ý: FILTER_SANITIZE_STRING đã bị loại bỏ từ PHP 8.1
// Thay vào đó, hãy dùng htmlspecialchars() hoặc các phương pháp an toàn hơn.
// For PHP 8.1+, a better approach for simple string sanitization for display is htmlspecialchars
echo "Chuỗi đã làm sạch (trước PHP 8.1): " . htmlspecialchars($sanitizedString) . "<br>";
?>

Đối với truy vấn cơ sở dữ liệu (SQL Injection):

Sử dụng Prepared Statements (Câu lệnh chuẩn bị sẵn) với PDO hoặc MySQLi: Đây là phương pháp an toàn nhất và được khuyến nghị hàng đầu để ngăn chặn SQL Injection. Các dữ liệu người dùng được truyền dưới dạng tham số riêng biệt, không phải là một phần của câu lệnh SQL, ngăn chặn kẻ tấn công thao tác câu lệnh.

<?php
echo "<h4>Lưu ý Bảo Mật: Chống SQL Injection với Prepared Statements (MySQLi)</h4>";
// Ví dụ (chỉ minh họa, cần kết nối CSDL thực tế)
// $mysqli = new mysqli("localhost", "user", "password", "database");
// $username = $_POST['username']; // Giả sử lấy từ form

// // Cách NGHIÊM CẤM (dễ bị SQL Injection):
// // $sql = "SELECT * FROM users WHERE username = '" . $username . "'";
// // $result = $mysqli->query($sql);

// // Cách ĐÚNG (an toàn với Prepared Statements):
// $stmt = $mysqli->prepare("SELECT * FROM users WHERE username = ?");
// $stmt->bind_param("s", $username); // "s" cho kiểu string
// $stmt->execute();
// $result = $stmt->get_result();
// // ... xử lý kết quả
// $stmt->close();
// $mysqli->close();
echo "Việc sử dụng Prepared Statements giúp ngăn chặn SQL Injection bằng cách tách biệt mã SQL và dữ liệu.<br>";
echo "Luôn ưu tiên dùng PDO hoặc MySQLi Prepared Statements khi tương tác với cơ sở dữ liệu.<br>";
?>

Kết bài

Việc nắm vững các biến toàn cục đặc biệt (Superglobals) là một trong những kiến thức nền tảng và quan trọng nhất khi phát triển ứng dụng web với PHP. Chúng đóng vai trò như những cầu nối thiết yếu, cho phép PHP thu thập, xử lý và phản hồi lại các thông tin đến từ trình duyệt của người dùng, môi trường máy chủ và duy trì trạng thái xuyên suốt các yêu cầu HTTP.

Trong bài viết này, chúng ta đã cùng tìm hiểu về:

Bản chất của Superglobals: Là các biến mảng được PHP tự động cung cấp, có thể truy cập từ mọi phạm vi mà không cần từ khóa global.
Các loại Superglobals phổ biến và công dụng: Từ $_GET và $_POST để nhận dữ liệu từ form và URL, $_SERVER để lấy thông tin môi trường, đến $_SESSION và $_COOKIE để quản lý trạng thái và dữ liệu phía client, cùng với $_FILES cho việc xử lý tải file.
Cách sử dụng an toàn và hiệu quả: Luôn kiểm tra sự tồn tại của khóa với isset() trước khi truy cập và đặc biệt là làm sạch (sanitize) và kiểm tra (validate) dữ liệu người dùng bằng các hàm như htmlspecialchars(), strip_tags() hoặc sử dụng Prepared Statements để ngăn chặn các cuộc tấn công bảo mật nghiêm trọng như XSS và SQL Injection.