--- title: 'Основи на PHP и глобални променливи: Обхват и суперглобални променливи | DevSense' description: 'Изчерпателно ръководство за обхвата на променливите в PHP (локален, глобален, статичен) и всички суперглобални променливи. Научете най-добрите практики, капани за сигурността и ограниченията в PHP 8.1+.' faq: - { question: 'Каква е разликата между локален, глобален и статичен обхват на променливите в PHP?', answer: "Локалните променливи съществуват само в рамките на функцията, в която са декларирани. Глобалните променливи съществуват извън функциите и достъпът до тях се осъществява чрез ключовата дума 'global' или масива $GLOBALS. Статичните променливи съществуват локално, но запазват стойността си при множество последващи извиквания на функцията." } - { question: 'Защо пренасочването на променливата $GLOBALS не работи в PHP 8.1+?', answer: "От PHP 8.1 насам Zend Engine предотвратява пренасочването (презаписването) на целия масив $GLOBALS (напр. $GLOBALS = [] е забранено) с цел оптимизиране на скоростта за търсене на променливи и осигуряване на вътрешна съгласуваност. Все още можете да модифицирате отделни ключове (напр. $GLOBALS['myVar'] = 'value')." } - { question: 'Как трябва да обработвам сигурно качване на файлове чрез $_FILES в PHP?', answer: "Винаги проверявайте статуса на качване с $_FILES['field']['error'], валидирайте размера на файла и MIME типа на сървъра, потвърждавайте файла с is_uploaded_file() и го премествайте в безопасна директория с move_uploaded_file()." } - { question: 'Защо директният достъп до $_GET или $_POST не се препоръчва в съвременната разработка на PHP?', answer: 'Директният достъп до суперглобални променливи обвързва кода ви с глобалното състояние, което прави модулното тестване и имитирането (mocking) на заявки изключително трудно. Това също така заобикаля филтрирането на данни, увеличавайки риска от XSS и SQL инжекции. Използвайте обвивка на заявката (request wrapper) вместо това.' } published: '2026-06-07' --- # PHP Basics: Variable Scopes and Superglobals **Difficulty Level:** Junior **Target PHP Versions:** PHP 7.0+ (with features marked up to PHP 8.3+) Представете си, че внедрявате незначителен рефакторинг на кода, само за да откриете, че производствената ви среда се срива с фатално изключение по време на изпълнение: `Fatal error: Cannot reassign $GLOBALS`. Или може би сте написали проста форма за контакт, само за да откриете, че злонамерен потребител е инжектирал XSS код директно чрез `$_POST` и е компрометирал сесиите на администратора. В PHP обхватите на променливите и суперглобалните променливи са в основата на потока от данни. Въпреки това, те остават чест източник на замърсяване на обхвата (scope pollution), изтичане на памет и критични уязвимости в сигурността за разработчиците, които тепърва навлизат в езика. Разбирането на това как променливите преминават между различните обхвати и как се държат суперглобалните променливи в PHP — особено при строгите правила на съвременните PHP среди — е от съществено значение за писането на сигурен, тестваем и надежден код. --- ## Variable Scopes: Local, Global, and Static Обхватът (scope) определя видимостта и жизнения цикъл на променливите във вашия код. В PHP променливите не преминават автоматично във вложени обхвати, освен ако това не е изрично указано. ### Local Scope * **Point**: Променливите, декларирани вътре във функция или метод на клас, са изолирани от външната среда. * **Why it matters**: Локалният обхват предотвратява сблъсъци на имена и неочаквани промени. Променлива с име `$user` вътре в една функция не може случайно да презапише променлива `$user`, дефинирана на друго място. * **Example**: ```php // app/Services/CalculationService.php function calculateTotal(float $price, float $tax): float { $total = $price + ($price * $tax); // Local variable return $total; } // Accessing $total here will throw a Warning (Undefined variable $total) ``` * **Consequence**: След като функцията завърши изпълнението си, нейните локални променливи се унищожават и паметта им се освобождава. Всеки опит за достъп до тях от глобалния обхват води до съобщение за недефинирана променлива (warning). ### Global Scope * **Point**: Променливите, дефинирани извън всяка функция или клас, принадлежат към глобалния обхват. Те обаче не са автоматично достъпни вътре във функциите. * **Why it matters**: Глобалните променливи позволяват споделяне на конфигурации или връзки към бази данни между различни файлове, но достъпът до тях във функции изисква използването на специални ключови думи. * **Example**: ```php // config/database.php $dbDsn = "mysql:host=127.0.0.1;dbname=app_db"; function connect(): PDO { // Accessing global scope requires the 'global' keyword global $dbDsn; return new PDO($dbDsn, "root", "secret"); } ``` * **Consequence**: Разчитането на ключовата дума `global` въвежда скрити зависимости. Това прави модулното тестване изключително трудно, тъй като тестващата система не може лесно да изолира или имитира (mock) глобалните стойности. ### Static Scope * **Point**: Статичната променлива се декларира вътре във функция с помощта на ключовата дума `static`. Тя съществува само в локалния обхват на тази функция, но запазва стойността си между следващите изпълнения на функцията. * **Why it matters**: Статичните променливи са идеални за кеширане на сложни изчисления, проследяване на дълбочината на рекурсия или генериране на леки идентификатори на последователности, без да се замърсява глобалното пространство от имена. * **Example**: ```php // app/Utils/SequenceGenerator.php function getNextSequenceId(): int { static $id = 0; // Initialized only on the first call $id++; return $id; } echo getNextSequenceId(); // 1 echo getNextSequenceId(); // 2 ``` > [!NOTE] > **Бележка за версията на PHP**: От PHP 8.3+ статичните променливи могат да се инициализират с динамични изрази (например извикване на други функции). Преди PHP 8.3 те можеха да се инициализират само с константни стойности или литерали. * **Consequence**: Променливата остава в паметта за времетраенето на текущия PHP процес. Ако вашето приложение работи под дълготрайни среди (като RoadRunner или FrankenPHP), статичните променливи ще пренасят състоянието си между различните HTTP заявки, което може да доведе до изтичане на памет или смесване на потребителски данни, ако не бъдат изчистени. --- ## PHP Superglobals Суперглобалните променливи са вградени асоциативни масиви, които са винаги налични във всички обхвати през целия жизнен цикъл на скрипта. Не е необходимо да използвате ключовата дума `global`, за да получите достъп до тях. ### 1. `$GLOBALS` (с ограничения за пренасочване в PHP 8.1+) * **Point**: Асоциативен масив, съдържащ препратки към всички променливи, които в момента са дефинирани в глобалния обхват на скрипта. * **Why it matters**: Осигурява програмен, динамичен достъп до глобалния обхват без необходимост от деклариране на `global $varName`. * **Example**: ```php // app/Utils/DebugHelper.php $debugMode = true; function isDebugEnabled(): bool { // Directly check the global variable through the superglobal array return $GLOBALS['debugMode'] ?? false; } ``` * **Ограничение в PHP 8.1+**: Преди PHP 8.1 масивът `$GLOBALS` можеше да бъде пренасочван (презаписван изцяло) или предаван по референция. В PHP 8.1+ пренасочването на целия масив `$GLOBALS` (напр. `$GLOBALS = [];` или `$GLOBALS =& $otherArray;`) е забранено и предизвиква фатална грешка по време на компилация или изпълнение. Това ограничение бе въведено с цел оптимизиране на скоростта за търсене на променливи в Zend Engine. Все още можете да променяте отделни ключове: ```php // app/Utils/LegacyRunner.php // This throws a Compile Error in PHP 8.1+: // $GLOBALS = ['app_env' => 'production']; // This is fully supported and correct: $GLOBALS['app_env'] = 'production'; ``` * **Consequence**: Наследените кодови бази, които нулират глобалното състояние по време на приключване на модулни тестове чрез `$GLOBALS = []`, трябва да бъдат пренаписани, за да нулират променливите ключ по ключ. ### 2. `$_SERVER` * **Point**: Съдържа хедъри, пътища, местоположения на скриптове и променливи на средата на уеб сървъра. * **Why it matters**: От съществено значение за маршрутизирането на заявките, проверката на HTTP методите (GET, POST) и валидирането на HTTP хедърите. * **Example**: ```php // public/index.php $requestUri = $_SERVER['REQUEST_URI'] ?? '/'; $requestMethod = $_SERVER['REQUEST_METHOD'] ?? 'GET'; $isHttps = isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off'; ``` * **Consequence**: Стойностите, започващи с `HTTP_` (напр. `HTTP_USER_AGENT`, `HTTP_X_FORWARDED_FOR`), се предоставят директно от браузъра на клиента. Те никога не трябва да се приемат сляпо за чиста монета, тъй като могат лесно да бъдат подправени. ### 3. `$_GET` * **Point**: Асоциативен масив от променливи в адресния ред (query string), предадени на скрипта чрез URL адреса. * **Why it matters**: Използва се за предаване на нечувствителни параметри за навигация, като например странициране, филтри и термини за търсене. * **Example**: ```php // app/Controllers/SearchController.php // URL: /search.php?query=php&page=2 $query = $_GET['query'] ?? ''; $page = (int)($_GET['page'] ?? 1); // Cast to int for safety ``` * **Consequence**: Параметрите на заявката се съхраняват в историята на браузъра и в лог файловете на уеб сървъра. Никога не предавайте чувствителни данни (пароли, API ключове или токени за възстановяване) чрез `$_GET`. ### 4. `$_POST` * **Point**: Асоциативен масив от променливи, предадени чрез HTTP POST заявка (напр. HTML форми или application/x-www-form-urlencoded данни). * **Why it matters**: Използва се за предаване на големи масиви от данни, метаданни на файлове и чувствителни данни, които модифицират състояние на сървъра. * **Example**: ```php // app/Controllers/RegistrationController.php if ($_SERVER['REQUEST_METHOD'] === 'POST') { // PHP 8.0+ allows throw expressions with null coalescing: $email = $_POST['email'] ?? throw new InvalidArgumentException('Email is required'); $password = $_POST['password'] ?? ''; } ``` * **Consequence**: Ако потребителят изпрати форма с размер, надвишаващ настройката `post_max_size` в `php.ini`, PHP безшумно отхвърля данните. Масивът `$_POST` ще бъде празен и няма да бъде хвърлена грешка автоматично. ### 5. `$_SESSION` * **Point**: Асоциативен масив, съдържащ сесийни променливи, достъпни за текущия скрипт. * **Why it matters**: Позволява запазване на идентичността и състоянието на потребителя (като количка за пазаруване или статус на вход) при множество безсъстоятелни (stateless) HTTP заявки. * **Example**: ```php // app/Services/AuthenticationService.php // PHP 7.0+ allows passing runtime options to session_start() session_start([ 'cookie_httponly' => true, 'cookie_secure' => true, 'cookie_samesite' => 'Lax', ]); $_SESSION['is_logged_in'] = true; $_SESSION['username'] = 'john_doe'; ``` * **Consequence**: `session_start()` трябва да бъде извикана преди достъпа до `$_SESSION`. Ако сесийните бисквитки не са конфигурирани с флага `HttpOnly`, идентификаторът на сесията (session ID) може да бъде откраднат чрез XSS атака, компрометирайки потребителския акаунт. ### 6. `$_COOKIE` * **Point**: Асоциативен масив, съдържащ бисквитки (cookies), изпратени до сървъра от браузъра на потребителя. * **Why it matters**: Позволява четене на предпочитанията от страната на клиента или на токени за автентификация тип "Запомни ме". * **Example**: ```php // app/Services/ThemeService.php $userTheme = $_COOKIE['preferred_theme'] ?? 'dark'; ``` * **Consequence**: Бисквитките се съхраняват изцяло на устройството на клиента. Потребителят може ръчно да променя техните стойности в браузъра си. Никога не се доверявайте на стойности в `$_COOKIE` за критична бизнес логика (като `$_COOKIE['is_admin'] = 1`). ### 7. `$_ENV` * **Point**: Асоциативен масив, съдържащ променливите на средата, предадени на PHP процеса. * **Why it matters**: Пази чувствителни идентификационни данни (пароли за бази данни, API ключове за поща) защитени и отделени от изходния код. * **Example**: ```php // app/Config/Database.php $dbPassword = $_ENV['DB_PASSWORD'] ?? 'default_password'; ``` * **Consequence**: `$_ENV` може да бъде напълно празен, ако директивата `variables_order` в `php.ini` не съдържа символа `"E"` (например, ако е настроена на `"GPCS"`). Ако `$_ENV` е празен, използвайте функцията `getenv()` или актуализирайте вашата конфигурация. ### 8. `$_FILES` * **Point**: Асоциативен масив, съдържащ метаданни за файлове, качени на сървъра чрез HTTP POST. * **Why it matters**: Осигурява сигурен достъп до свойствата на качения файл (име, тип, размер, временно име, грешка) с цел тяхното валидиране и преместване. * **Example**: ```php // app/Services/UploadService.php if (isset($_FILES['profile_pic']) && $_FILES['profile_pic']['error'] === UPLOAD_ERR_OK) { $tempPath = $_FILES['profile_pic']['tmp_name']; // Strict security validation if (is_uploaded_file($tempPath)) { $filename = uniqid('avatar_', true) . '.png'; move_uploaded_file($tempPath, '/var/www/uploads/' . $filename); } } ``` * **Consequence**: Ако файловете не бъдат преместени с помощта на `move_uploaded_file()` по време на изпълнение на заявката, PHP автоматично изтрива временния файл от временната директория след приключване на скрипта. --- ## Limitations, Trade-offs, and Clean Architecture Въпреки че глобалните и суперглобалните променливи са вградени в PHP за улеснение на разработката, съвременните практики в софтуерното инженерство не препоръчват директната им употреба в бизнес логиката. * **Lack of Testability**: Директният достъп до `$_GET`, `$_POST` или `$_SERVER` обвързва вашия сервизен клас директно с глобалното състояние. Това прави модулното тестване невъзможно, тъй като не можете да изолирате контекста на изпълнение, без да променяте глобалните променливи преди всеки тест. * **Security Exposure**: Суперглобалните променливи съдържат сурови, непотвърдени потребителски данни. Директният достъп до `$_POST['username']` вместо използването на валидиран обект за трансфер на данни (DTO) увеличава риска от SQL инжекции и XSS атаки. * **The Framework Alternative**: Съвременните PHP рамки (като Laravel и Symfony) обвиват суперглобалните променливи в обекти Request и Response. Вместо да четете директно `$_GET['id']`, вие инжектирате инстанция на `Request`: ```php // app/Http/Controllers/UserController.php // Modern framework approach using Dependency Injection public function show(Request $request): Response { $userId = $request->query('id'); // Mockable and testable // ... } ``` --- ## Practical Takeaways 1. **Minimize Scope**: Дръжте променливите възможно най-локални. Предавайте ги на функциите като аргументи, вместо да осъществявате достъп до тях чрез ключовата дума `global`. 2. **Handle RoadRunner/FrankenPHP Lifecycles**: Ако използвате статични променливи, ги изчиствайте или нулирайте при среди с постоянни процеси (worker threads). В противен случай ще възникне изтичане на памет или смесване на данни на различни потребители. 3. **Use Request Wrappers**: Ако пишете чист PHP (без фреймуърк), създайте клас-обвивка или използвайте функцията `filter_input()`, вместо да осъществявате директен достъп до суперглобалните масиви. 4. **Prepare for PHP 8.1+**: Уверете се, че нямате код в стари библиотеки, който се опитва да презапише или да предаде по референция `$GLOBALS`. --- ## Self-Check Quiz Тествайте знанията си за обхватите на променливите и суперглобалните масиви в PHP. ### Question 1: Какъв ще бъде резултатът от следния PHP код? ```php // app/Http/Controllers/TestController.php $name = "Alice"; function greet(): string { return "Hello, " . $name; } echo greet(); ``` - A) `Hello, Alice` - B) `Hello, ` заедно с предупреждение за недефинирана променлива (Undefined Variable Warning) - C) `Hello, $name`
Кликнете, за да видите отговора и обяснението **Отговор: B** Променливите, дефинирани в глобалния обхват, не са автоматично видими вътре във функциите. Тъй като `$name` не е декларирана с ключовата дума `global` и не е достъпна чрез `$GLOBALS['name']` вътре в `greet()`, PHP показва предупреждение за недефинирана променлива и третира променливата като `null`.
### Question 2: Кое твърдение е вярно относно пренасочването (презаписването) на `$GLOBALS`? - A) `$GLOBALS` може да бъде презаписан във всички версии на PHP. - B) Презаписването на `$GLOBALS` (напр. `$GLOBALS = [];`) ще задейства фатална грешка от PHP 8.1 нататък. - C) Модифицирането на отделни ключове като `$GLOBALS['user'] = 'Bob';` е остаряло и забранено в PHP 8.1+.
Кликнете, за да видите отговора и обяснението **Отговор: B** От PHP 8.1 нататък вече не можете да презаписвате целия масив `$GLOBALS` поради оптимизации в таблицата със символи на Zend Engine. Модифицирането на отделни ключове (като `$GLOBALS['user'] = 'Bob'`) обаче остава напълно поддържано и функционално.
### Question 3: Защо трябва да избягвате да се доверявате на `$_FILES['input_name']['type']`? - A) Стойността му винаги е празна. - B) Той се определя от PHP от страната на сървъра и често е грешен. - C) Изпраща се от браузъра (клиента) и може лесно да бъде манипулиран от нападател.
Кликнете, за да видите отговора и обяснението **Отговор: C** MIME типът в `$_FILES['...']['type']` се изпраща директно в HTTP хедърите на клиентския браузър. Нападател може да качи зловреден `.php` скрипт, но да подправи хедъра на заявката да изглежда като `image/png`. Винаги проверявайте MIME типа на сървъра с помощта на `finfo_file()` или разширението `fileinfo`.