PHP: полный мануал с примерами, функциями и ООП

Что означает «суперглобальная» и кто заполняет массив

Нужно выбрать страницу каталога из адреса /example.php?page=2. Значение 2 пришло от человека, поэтому PHP заранее положил его в $_GET. Это именованный набор значений — массив. Запись $_GET['page'] означает «взять значение с ключом page». Вы не создаёте $_GET присваиванием: в HTTP его наполняет PHP из URL.

Суперглобальная — переменная, доступная и снаружи, и внутри функции без объявления global. «Супер» относится к доступности имени, а не к качеству данных или хранению между запросами. Как подписанный лоток входящих документов, $_GET группирует данные по ключам; но на диске такого лотка нет, и новый запрос получает свои значения.

Вы можете сами создать $name = 'Анна';. Но адрес страницы, поля формы и cookie приходят извне. Для них PHP предоставляет специальные переменные. Суперглобальная переменная доступна в любой области видимости, в том числе внутри функции без global. Это доступность имени, а не гарантия доверия к содержимому.

Данные из URL, тела, cookie и заголовков сначала проверяют. Число 2 в адресе обычно приходит строкой "2"; запись page[]=2 создаёт массив. Необязательный ключ может отсутствовать.

Проверить данные в настоящем HTTP-запросе

Начните с одного источника. ?? '1' выбирает первую страницу при отсутствии параметра. filter_var получает значение, фильтр целого числа и карту options с минимальным и максимальным допустимым значением. При успехе возвращает int; при отказе — false. Строгое === false проверяет именно отказ.

Ниже вход не подставлен автором: он приходит через браузер. Массив options — настройки нашей проверки; $_GET — отдельный массив с внешними данными. Их одинаковая синтаксическая форма не делает их одинаково доверенными.

<?php
$rawPage = $_GET['page'] ?? '1';
if (!is_string($rawPage)) {
    http_response_code(422);
    exit('Номер страницы должен быть одной строкой.');
}
$page = filter_var($rawPage, FILTER_VALIDATE_INT, ['options' => ['min_range' => 1, 'max_range' => 20]]);
if ($page === false) {
    http_response_code(422);
    exit('Выберите страницу от 1 до 20.');
}
header('Content-Type: text/plain; charset=utf-8');
echo 'Страница каталога ', $page;

Сравните ?page=2 и ?page=3: меняется только значение, а путь через проверку одинаков. Если поле нужно нескольким функциям, передавайте уже проверенный $page аргументом. Следующие разделы объясняют доступность суперглобальных имён и другие источники; готовая форма поиска избавляет посетителя от ручного редактирования URL.

Первое чтение: отсутствующий ключ и неожиданный тип

<?php
declare(strict_types=1);

$query = ['page' => '2'];
$rawPage = $query['page'] ?? '1';
if (!is_string($rawPage)) {
    echo "Номер страницы должен быть строкой\n";
} else {
    $page = filter_var($rawPage, FILTER_VALIDATE_INT, [
        'options' => ['min_range' => 1, 'max_range' => 1000],
    ]);
    echo $page === false ? "Некорректная страница\n" : "Страница: $page\n";
}

Страница: 2

Если значение понадобится нескольким функциям, прочитайте его на входе запроса, проверьте и передайте аргументом. Так функция расчёта сможет работать и на сайте, и в CLI, и в тесте.

Суперглобальная доступна внутри функции, но явный аргумент удобнее проверять

<?php
declare(strict_types=1);

function requestMethod(array $server): string
{
    $value = $server['REQUEST_METHOD'] ?? 'GET';
    return is_string($value) ? $value : 'GET';
}
echo requestMethod(['REQUEST_METHOD' => 'POST']), "\n";
echo requestMethod([]), "\n";

POST
GET

Прямая запись $_POST['email'] внутри функции синтаксически разрешена. Но она связывает функцию с текущим запросом. Для проверки адреса понятнее validateEmail($value): источник данных выбирает вызывающая сторона.

Ключи $_SERVER различаются между веб-сервером и CLI. Не выводите весь массив в публичную страницу: окружение и заголовки могут содержать секреты. Для учебной диагностики смотрите только нужные поля и вымышленные данные.

GET и POST могут присутствовать одновременно

Название $_GET относится к параметрам URL, а не к условию «запрос обязательно GET». Для формы action="contact.php?source=footer" method="post" источник перехода попадёт в $_GET, поля — в $_POST. При одинаковом имени в двух источниках решите явно, какое значение разрешено использовать.

Для JSON читают file_get_contents('php://input') и затем json_decode, проверяя ошибки, размер и структуру. Для загружаемого файла используют $_FILES. Подробные маршруты: HTML → GET/POST, файл → $_FILES, JSON-тело webhook.

Самопроверка: найдите источник до написания кода

Сайт получил POST /orders.php?preview=1. В теле формы quantity=2, браузер прислал cookie theme=dark. Где взять каждое значение, и почему цена из скрытого поля price не должна определять цену заказа?

Правила внешних имён и границы источников

Внешний ввод остаётся недоверенным независимо от источника. Скрытое поле, cookie и HTTP-заголовок тоже меняются клиентом. Для всех предопределённых переменных сохраняется отдельный официальный справочник; практические маршруты продолжаются через сессии, $_FILES и области видимости.