各位自习室的小伙伴们，大家好！

在 PHP 后端开发中，超全局变量是我们每天都会接触的基础工具，尤其是 $_GET、$_POST、$_SESSION 这三个，分别对应着数据传递、表单提交、用户会话存储三大核心场景。但新手很容易在使用中踩坑——要么忽略安全风险，要么因使用不规范导致程序报错、逻辑混乱。

今天这篇「基础自习室」内容，就带大家夯实这三个超全局变量的使用地基，理清规范、避开常见陷阱，让代码更健壮、更安全。

一、基础认知：三大超全局变量是什么？

超全局变量是 PHP 预定义的、在脚本的所有作用域中都可访问的变量，无需声明 global 即可使用。我们先明确三个变量的核心用途和区别：

1. $_GET：URL 传参的“搬运工”

作用：用于收集通过 URL 地址传递的参数（如地址栏问号后的键值对），也可接收表单中 method="get" 提交的数据。

特点：参数会直接暴露在 URL 中，可被浏览器缓存、收藏，传递数据量有限（通常受限于浏览器对 URL 长度的限制，一般建议不超过 2KB）。

示例：访问 URL http://example.com/index.php?id=1&name=test，可通过以下代码获取参数：

<?php$id = $_GET['id']; // 取值 1$name = $_GET['name']; // 取值 test?>

2. $_POST：表单数据的“保密员”

作用：用于收集表单中 method="post" 提交的数据，也可接收 AJAX 异步提交的非 URL 暴露数据。

特点：参数不会显示在 URL 中，数据传递量更大（理论上无限制，受服务器配置影响），安全性比 $_GET 更高，适合提交敏感数据（如账号密码、表单内容）。

示例：处理登录表单提交的数据：

<?php$username = $_POST['username'];$password = $_POST['password'];// 后续验证逻辑?>

3. $_SESSION：用户会话的“储物柜”

作用：用于存储用户会话期间的状态数据（如登录状态、用户信息），数据存储在服务器端，客户端仅保存一个会话 ID（通过 Cookie 传递，默认键名为 PHPSESSID）。

特点：数据仅对当前用户会话有效，会话结束（关闭浏览器、手动销毁）后数据失效，适合跨页面保持用户状态。

核心前提：使用 $_SESSION 前，必须在脚本最顶部调用 session_start() 启动会话（无输出内容前调用，否则会报 headers already sent 错误）。

二、使用规范：各司其职，规范先行

规范使用不仅能避免报错，还能提升代码安全性和可维护性，以下是分变量的核心规范：

1. $_GET 使用规范

• 明确使用场景：仅用于获取非敏感、无需修改服务器状态的数据（如列表分页、详情页ID、筛选条件），禁止用 $_GET 提交密码、银行卡号等敏感信息。

• 参数必验证：接收参数前必须检查是否存在、格式是否正确（如 ID 需为数字、日期需符合格式），避免因参数缺失或非法导致报错。示例：

<?php// 安全取值方式$id = isset($_GET['id']) && is_numeric($_GET['id']) ? intval($_GET['id']) : 0;if ($id <= 0) {    exit('非法参数：ID 必须为正整数');}?>

• 注意 URL 编码：若参数包含中文、特殊字符（如 &、空格），需用 urlencode() 编码后传递，接收时用 urldecode() 解码（PHP 会自动解码，特殊场景需手动处理）。

2. $_POST 使用规范

• 数据必过滤：接收表单数据后，需过滤非法字符（如 HTML 标签、SQL 注入语句），推荐使用 PHP 内置函数 filter_input() 或框架自带过滤方法，避免 XSS、SQL 注入攻击。示例：

<?php// 过滤用户名（去除 HTML 标签、首尾空格）$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);// 验证邮箱格式$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);if (!$email) {    exit('邮箱格式错误');}?>

• 处理 Content-Type：若接收 AJAX 提交的 JSON 数据（Content-Type: application/json），$_POST 无法直接获取，需通过 file_get_contents('php://input') 读取后解码。示例：

<?php$json = file_get_contents('php://input');$data = json_decode($json, true); // 转为关联数组$username = $data['username'] ?? '';?>

• 防 CSRF 攻击：提交表单时需添加 CSRF 令牌（如隐藏字段），验证令牌有效性，防止跨站请求伪造（如恶意网站伪造用户提交表单）。

3. $_SESSION 使用规范

• 启动时机正确：session_start() 必须放在脚本最顶部，且前面无任何输出（包括空格、HTML 标签），否则会触发“headers already sent”错误。

• 存储内容适度：仅存储必要的会话数据（如用户 ID、用户名、权限标识），禁止存储大量数据（如数据库查询结果、大文本），避免占用过多服务器内存。

• 及时销毁会话：用户退出登录时，需彻底销毁会话，而非仅清空部分数据。正确步骤：

<?phpsession_start();// 清空会话数据$_SESSION = [];// 销毁会话 Cookieif (isset($_COOKIE[session_name()])) {    setcookie(session_name(), '', time() - 3600, '/');}// 销毁服务器端会话文件session_destroy();// 跳转至登录页header('Location: login.php');exit;?>

• 配置安全会话：在 php.ini 中优化会话配置，提升安全性：          - session.cookie_httponly = On：禁止 JS 访问会话 Cookie，防止 XSS 窃取；          - session.cookie_secure = On：仅在 HTTPS 协议下传递会话 Cookie；          - session.gc_maxlifetime：设置会话过期时间（如 1800 秒，即 30 分钟无操作过期）。

三、避坑指南：避开这些新手高频错误

1. 坑点一：未检查参数存在性直接取值

错误写法：$id = $_GET['id'];（若 URL 中无 id 参数，会报 Undefined index 错误）。

解决方案：用 isset() 或 empty() 检查，或用三元运算符、null 合并运算符（PHP7+）取值：

$id = $_GET['id'] ?? 0; // PHP7+ 语法，等价于 isset($_GET['id']) ? $_GET['id'] : 0

2. 坑点二：信任用户输入，引发安全漏洞

错误写法：直接将 $_GET/$_POST 数据代入 SQL 语句、输出到页面，导致 SQL 注入、XSS 攻击。

解决方案：        - SQL 操作：使用预处理语句（PDO、MySQLi），禁止字符串拼接；        - 页面输出：用 htmlspecialchars() 转义特殊字符，示例：echo htmlspecialchars($username, ENT_QUOTES, 'UTF-8');。

3. 坑点三：session_start() 调用时机错误

错误场景：在 echo、HTML 标签之后调用 session_start()，导致 headers 已发送错误。

解决方案：确保 session_start() 是脚本第一行代码，若需混合 HTML 和 PHP，可将 PHP 代码放在最顶部，或使用输出缓冲（ob_start()）临时缓存输出。

4. 坑点四：混淆 $_GET 与 $_POST 的使用场景

错误场景：用 $_GET 提交登录密码（参数暴露在 URL 中，可被日志、代理记录）；用 $_POST 传递分页参数（无法缓存页面，影响性能）。

解决方案：严格遵循“查询用 GET，提交用 POST”的原则。

5. 坑点五：会话数据无法跨页面共享

常见原因：部分页面未调用 session_start()、会话 ID 丢失、服务器会话存储目录无权限。

解决方案：        - 所有需要使用会话的页面，顶部统一调用 session_start()；        - 检查 php.ini 中 session.save_path 目录是否存在且有写入权限；       - 确保客户端未禁用 Cookie（会话 ID 默认通过 Cookie 传递）。

四、总结

$_GET、$_POST、$_SESSION 是 PHP 后端开发的“基石工具”，使用时记住三个核心原则：参数必验证、数据必过滤、安全必重视。

新手阶段不用追求复杂用法，先把这些基础规范吃透，避开文中提到的坑点，就能写出更稳定、更安全的代码。后续在实际项目中，可结合框架（如 Laravel、ThinkPHP）的封装方法，进一步简化超全局变量的使用（框架会自动处理验证、过滤、会话安全等问题）。

你在使用 PHP 超全局变量时还踩过哪些坑？欢迎在评论区留言分享，一起在自习室里查漏补缺、共同进步！