PHP $_SERVER e Outras Superglobais

Você já usou três variáveis "mágicas" que existem sozinhas em qualquer programa PHP: $_GET, $_POST e $_FILES. Elas fazem parte de uma família de nove, as superglobais. Esta aula apresenta a mais curiosa delas, $_SERVER, que conta tudo sobre o pedido que chegou (quem pediu, qual endereço, com qual navegador), e fecha com o mapa da família inteira.

A ideia: o carimbo do correio

Quando uma carta chega, além do conteúdo, o envelope traz informações: o carimbo com a data, a cidade de origem, o endereço de destino, às vezes o remetente. Ninguém escreveu isso na carta; vem "de brinde" com a entrega.

$_GET e $_POST são o conteúdo da carta. $_SERVER é o envelope: o PHP anota nele como o pedido chegou e onde ele está rodando. E, como num envelope, parte dessas anotações foi escrita pelo correio (o servidor, confiável) e parte pelo remetente (o navegador, que pode escrever o que quiser).

O que é uma superglobal

Normalmente, uma variável criada fora de uma função não existe dentro dela (veja Escopo). As superglobais são a exceção: o PHP as cria antes do seu código rodar e elas são visíveis em todo lugar, sem global:

function foiEnviado(): bool
{
    return $_SERVER['REQUEST_METHOD'] === 'POST';   // funciona: superglobal
}

Todas começam com $_ e são escritas em maiúsculas (a única exceção é $GLOBALS, sem o sublinhado). Você não pode criar novas superglobais: a família é fixa.

$_SERVER por dentro

A forma mais rápida de conhecer $_SERVER é imprimir tudo. A Ana criou um server.php e abriu no servidor embutido (O Servidor Embutido):

<?php
print_r($_SERVER);

$ curl -s localhost:8000/server.php
Array
(
    [DOCUMENT_ROOT] => /home/ana/site
    [REMOTE_ADDR] => 127.0.0.1
    [REMOTE_PORT] => 37966
    [SERVER_SOFTWARE] => PHP/8.5.8 (Development Server)
    [SERVER_PROTOCOL] => HTTP/1.1
    [SERVER_NAME] => localhost
    [SERVER_PORT] => 8000
    [REQUEST_URI] => /server.php
    [REQUEST_METHOD] => GET
    [SCRIPT_NAME] => /server.php
    [SCRIPT_FILENAME] => /home/ana/site/server.php
    [PHP_SELF] => /server.php
    [HTTP_HOST] => localhost:8000
    [HTTP_USER_AGENT] => curl/8.18.0
    [HTTP_ACCEPT] => */*
    [REQUEST_TIME_FLOAT] => 1792195356.5285
    [REQUEST_TIME] => 1792195356
)

As chaves se dividem em três grupos:

• Sobre o pedido: REQUEST_METHOD, REQUEST_URI, QUERY_STRING, REQUEST_TIME.
• Cabeçalhos que o navegador mandou: todas as que começam com HTTP_. Cada cabeçalho HTTP vira uma chave: User-Agent → HTTP_USER_AGENT, Accept-Language → HTTP_ACCEPT_LANGUAGE (maiúsculas, hífen vira sublinhado, HTTP_ na frente).
• Sobre o servidor e o arquivo: SERVER_NAME, SERVER_PORT, DOCUMENT_ROOT, SCRIPT_FILENAME.

Num Apache ou Nginx, a lista é bem maior (e algumas chaves mudam). O que vale para todos: as chaves abaixo.

As chaves mais úteis

Para ver cada uma com calma, a Ana pediu a página loja/produto.php?id=7&cor=azul como se fosse um Firefox, vindo de um link na página /loja/. O -A do curl define o User-Agent, e o -H acrescenta outros cabeçalhos:

<?php
$chaves = ['REQUEST_METHOD', 'REQUEST_URI', 'QUERY_STRING', 'SCRIPT_NAME', 'PHP_SELF',
           'HTTP_HOST', 'HTTP_USER_AGENT', 'HTTP_ACCEPT_LANGUAGE', 'HTTP_REFERER',
           'REMOTE_ADDR', 'SERVER_NAME', 'SERVER_PORT', 'SERVER_PROTOCOL', 'DOCUMENT_ROOT', 'SCRIPT_FILENAME', 'HTTPS'];
foreach ($chaves as $c) {
    echo str_pad($c, 22), '= ', $_SERVER[$c] ?? '(não existe)', "\n";
}

$ curl -s "localhost:8000/loja/produto.php?id=7&cor=azul" -H "Accept-Language: pt-BR,pt;q=0.9" -H "Referer: http://localhost:8000/loja/" -A "Mozilla/5.0 (X11; Linux x86_64; rv:140.0) Gecko/20100101 Firefox/140.0"
REQUEST_METHOD        = GET
REQUEST_URI           = /loja/produto.php?id=7&cor=azul
QUERY_STRING          = id=7&cor=azul
SCRIPT_NAME           = /loja/produto.php
PHP_SELF              = /loja/produto.php
HTTP_HOST             = localhost:8000
HTTP_USER_AGENT       = Mozilla/5.0 (X11; Linux x86_64; rv:140.0) Gecko/20100101 Firefox/140.0
HTTP_ACCEPT_LANGUAGE  = pt-BR,pt;q=0.9
HTTP_REFERER          = http://localhost:8000/loja/
REMOTE_ADDR           = 127.0.0.1
SERVER_NAME           = localhost
SERVER_PORT           = 8000
SERVER_PROTOCOL       = HTTP/1.1
DOCUMENT_ROOT         = /home/ana/site
SCRIPT_FILENAME       = /home/ana/site/loja/produto.php
HTTPS                 = (não existe)

E a mesma página pedida pelo curl "puro", sem endereço com dados nem cabeçalhos extras. Repare nas chaves que desaparecem:

$ curl -s localhost:8000/loja/produto.php
REQUEST_METHOD        = GET
REQUEST_URI           = /loja/produto.php
QUERY_STRING          = (não existe)
…
HTTP_USER_AGENT       = curl/8.18.0
HTTP_ACCEPT_LANGUAGE  = (não existe)
HTTP_REFERER          = (não existe)
…

<form method="get"><input name="busca" value="torta"> <button>GET</button></form>
<form method="post"><input name="busca" value="pudim"> <button>POST</button></form>
<pre>
<?php
foreach (['REQUEST_METHOD', 'REQUEST_URI', 'QUERY_STRING', 'SCRIPT_NAME',
          'HTTP_HOST', 'HTTP_USER_AGENT', 'REMOTE_ADDR'] as $c) {
    echo str_pad($c, 16), '= ', htmlspecialchars($_SERVER[$c] ?? '(não existe)'), "\n";
}
?>
</pre>

Usos comuns

$_SERVER no terminal

Quando o PHP roda no terminal (php arquivo.php, veja PHP na Linha de Comando), não existe pedido HTTP. Então não há REQUEST_METHOD nem cabeçalhos, mas aparecem os argumentos (argv, argc) e as variáveis de ambiente do sistema:

<?php
echo $_SERVER['argv'][1] ?? '-', ' ', $_SERVER['argc'], ' ', $_SERVER['SCRIPT_NAME'], ' ', $_SERVER['REQUEST_METHOD'] ?? '(sem REQUEST_METHOD)', "\n";

$ php cli.php Ana
Ana 2 cli.php (sem REQUEST_METHOD)

Por isso, num código que pode rodar dos dois jeitos, leia sempre com ?? ….

$_ENV e getenv: variáveis de ambiente

O sistema operacional guarda variáveis de ambiente: configurações como HOME (a pasta pessoal), LANG (o idioma) e, em servidores, coisas como a senha do banco de dados, para não ficarem escritas no código. O PHP pode lê-las de dois jeitos:

<?php
var_dump(count($_ENV), getenv('HOME'));

$ php env.php
int(15)
string(9) "/home/ana"

No laboratório da Ana, $_ENV veio cheio porque o PHP está sem php.ini. Nos php.ini que acompanham o PHP (e na maioria dos servidores), a configuração variables_order é "GPCS", sem o E de Environment, e $_ENV fica vazio. Por isso a forma mais segura é getenv('NOME'), que funciona nos dois casos e devolve false se a variável não existir.

$GLOBALS: todas as variáveis globais

$GLOBALS é um array com todas as variáveis criadas fora de funções. Dentro de uma função, ele dá acesso a elas pelo nome:

<?php
$loja = 'Padaria da Ana';
function nomeDaLoja(): string
{
    return $GLOBALS['loja'];
}
echo nomeDaLoja(), "\n";

$ php globals.php
Padaria da Ana

Funciona, mas cria a mesma bagunça do global (veja Escopo): a função depende de uma variável que pode ser mudada em qualquer lugar. Prefira passar o valor como parâmetro. Desde o PHP 8.1, $GLOBALS não pode mais ser substituído inteiro:

<?php
$GLOBALS = [];

$ php globals2.php

Fatal error: $GLOBALS can only be modified using the $GLOBALS[$name] = $value syntax in /home/ana/site/globals2.php on line 2
Stack trace:
#0 {main}

O mapa das superglobais

Repare na coluna "De onde vem": tudo o que vem do visitante passa por validação na entrada e escape na saída (Validar Dados, Escapar a Saída).

Quando dá errado

<form action="<?= $_SERVER['PHP_SELF'] ?>" method="post">

$ curl -s "localhost:8000/self.php/%22%3E%3Cb%20style=%22color:red%22%3Ehackeado%3C/b%3E"
<form action="/self.php/"><b style="color:red">hackeado</b>" method="post">

$ curl -s localhost:8000/ref.php
<br />
<b>Warning</b>:  Undefined array key "HTTP_REFERER" in <b>/home/ana/site/ref.php</b> on line <b>2</b><br />

<?php
echo $_SESSION["usuario"];

$ curl -s localhost:8000/sess.php
<br />
<b>Warning</b>:  Undefined global variable $_SESSION in <b>/home/ana/site/sess.php</b> on line <b>2</b><br />
<br />
<b>Warning</b>:  Trying to access array offset on null in <b>/home/ana/site/sess.php</b> on line <b>2</b><br />

Exercícios

<h1>Receitas</h1>
<p>Página de receitas da Ana.</p>
<footer>
<?php
// mostre aqui o método e o endereço pedido
?>
</footer>

<h1>Receitas</h1>
<p>Página de receitas da Ana.</p>
<footer>
<?php
echo "<p>Método: " . htmlspecialchars($_SERVER['REQUEST_METHOD']) . "</p>";
echo "<p>Você pediu: " . htmlspecialchars($_SERVER['REQUEST_URI']) . "</p>";
?>
</footer>

<?php
// seu código aqui

<?php
$agente = $_SERVER['HTTP_USER_AGENT'] ?? 'desconhecido';
echo "<p>Seu navegador: " . htmlspecialchars($agente) . "</p>";

Resumo

• Superglobais existem em todo lugar, inclusive em funções. São nove: $_GET, $_POST, $_FILES, $_COOKIE, $_SESSION, $_REQUEST, $_SERVER, $_ENV, $GLOBALS.
• $_SERVER descreve o pedido e o servidor: REQUEST_METHOD, REQUEST_URI, QUERY_STRING, SCRIPT_NAME, REMOTE_ADDR…
• Cada cabeçalho HTTP vira HTTP_NOME; todos podem ser falsificados e podem não existir: ?? '' e htmlspecialchars.
• Não use PHP_SELF sem escape; para enviar à própria página, omita o action.
• No terminal, $_SERVER não tem dados de pedido, mas tem argv/argc.
• Para variáveis de ambiente, getenv. $GLOBALS existe, mas prefira parâmetros.