PHP超全局变量的填充时间的庖丁解牛

PHP 超全局变量（Superglobals）的填充时间，是请求生命周期中最先发生的初始化行为之一，其时机由SAPI（Server API）类型决定。理解这一机制，是掌握 PHP 执行模型、排查部署问题、避免安全漏洞的关键。

一、超全局变量列表与作用

💡核心认知：
超全局变量 = 请求上下文的快照，由 SAPI 在脚本执行前注入

二、填充时机：SAPI 决定一切

▶ 1.Web SAPI（FPM/CGI/Apache2Handler）

• 填充时机：
  • 在 PHP 脚本第一行代码执行前，由 Web 服务器通过 SAPI 接口传递
• 流程：

  graph LR A[HTTP 请求] --> B[Web 服务器<br>(Nginx/Apache)] B --> C[SAPI 初始化] C --> D[填充超全局变量] D --> E[执行 PHP 脚本]

• 关键点：
  • $_GET/$_POST/$_COOKIE由 Web 服务器解析 HTTP 请求后填充
  • $_SERVER由 Web 服务器注入 FastCGI 参数（如SCRIPT_FILENAME）

▶ 2.CLI SAPI（命令行）

• 填充时机：
  • 脚本启动时，从操作系统环境和 CLI 参数填充
• 数据来源：
  • $_SERVER['argv']←$argv
  • $_ENV← Shell 环境变量
  • $_GET/$_POST←空数组（无 HTTP 上下文）

▶ 3.Embedded SAPI（如旧版 mod_php）

• 填充时机：
  • 与 FPM 类似，但由 Apache 直接注入
• 现状：
  • 已淘汰（PHP 8.0+ 移除）

三、填充顺序与依赖关系

▶ 1.严格顺序

1. Zend 引擎初始化
2. SAPI 填充超全局变量
3. 执行auto_prepend_file
4. 执行用户脚本

▶ 2.$_SESSION的特殊性

• 默认不填充！
  • 需显式调用session_start()才从存储（文件/Redis）加载数据
• 填充时机：
  • session_start()调用时，而非脚本开始时

▶ 3.$_REQUEST的动态性

• 填充时机：
  • 脚本开始时，按request_order配置合并$_GET/$_POST/$_COOKIE
• 风险：
  • 若request_order = "GP"，$_POST['id']会覆盖$_GET['id']

四、安全与陷阱

▶ 1.客户端可操控字段

• 危险变量：
  • $_GET/$_POST/$_COOKIE/$_SERVER['HTTP_*']
• 防御：
  • 永远不要信任这些值 → 必须验证/转义

▶ 2.register_globals的历史教训

• PHP 5.4 前：
  • 可开启register_globals = On→ 自动将$_GET['id']转为$id
• 后果：
  • 变量污染 → 严重安全漏洞（如$is_admin = true被覆盖）
• 现状：
  • 已彻底移除

▶ 3.variables_order配置影响

• 配置项：

  ; php.ini variables_order = "EGPCS" ; Environment, Get, Post, Cookie, Server

• 作用：
  • 决定哪些超全局变量被填充（如"GPC"跳过$_ENV/$_SERVER）

五、工程实践：验证与调试

▶ 1.检查填充时机

// test.phpvar_dump($_GET);// 即使是第一行，也能输出

• 结果：
  • Web 环境：array(1) { ["foo"]=> string(3) "bar" }（来自?foo=bar）
  • CLI 环境：array(0) {}

▶ 2.监控 SAPI 差异

if(PHP_SAPI==='cli'){echo"Running in CLI\n";}else{echo"Running in Web\n";var_dump($_SERVER['REQUEST_URI']);}

▶ 3.安全初始化

// 清理不可信输入$_GET=array_map('trim',$_GET);$_POST=array_map('htmlspecialchars',$_POST);

六、终极心法

**“超全局不是魔法，
而是 SAPI 的馈赠——

• 当你理解填充时机，
  你在掌握请求上下文；
• 当你校验客户端输入，
  你在守护安全边界；
• 当你区分 SAPI 行为，
  你在规避环境陷阱。

真正的工程能力，
始于对超全局的敬畏，
成于对细节的精控。”

结语

从今天起：

1. 所有超全局变量必验证/转义
2. CLI 与 Web 环境做差异化处理
3. 禁用request_order中的C（Cookie）除非必要

因为最好的输入处理，
不是盲目信任，
而是精准防御。