Издание Psalm 3.12, статичен анализатор за езика PHP. Алфа версия PHP 8.0

Компания Vimeo публикува ново издание на статичен анализатор Psalm 3.12, позволяващ идентифицирането както на очевидни, така и на трудни за улавяне грешки в PHP кода, а също така автоматично коригиращ някои видове грешки. Системата е подходяща за откриване на проблеми както в остарял код, така и в код, използващ съвременни възможности, появили се в новите версии на PHP. Кодът на проекта е написан на PHP и разпространява под лиценз MIT.

Psalm идентифицира голяма част от проблемите, свързани с неправилно използване на типове, а също и разнообразни типични грешки. Например, поддържа извеждане на предупреждения за смесване в изрази на променливи с различни типове, неправилни логически проверки (като «if ($a && $a) {}», «if ($a && !$a) {}» и «if ($a) {} elseif ($a) {}»), непълна инициализация на свойства на обекти. Анализаторът работи в многопоточен режим. Възможно е извършване на инкрементални проверки, при които се анализират само файловете, променили се от последната проверка.

Допълнително се предоставят средства за безопасно програмиране, позволяващи да се използва анотации във формат Docblock («/** @var Type */») за предоставяне на информация за типове променливи, стойности за връщане, параметри на функции, свойства на обекти. Също така се поддържа определяне на шаблони за използване на типови и прилагане на изрази assert. Например:

/** @var string|null */
$a = foo();

/** @var string $a */
echo strpos($a, 'hello');

/** @psalm-assert-if-true B $a */
function isValidB(A $a) : bool {
return $a instanceof B && $a->isValid();
}

За автоматизиране на отстраняване на намерените проблеми се предоставя утилита Psalter, която поддържа плъгини и позволява отстранява типични проблеми в кода, добавя анотации за типове, а също така извършва манипулации като преместване на класове от едно пространство на имена в друго, преместване на методи между класове, преименуване на класове и методи.

В новото издание на Psalm реализирана опция «—taint-analysis», позволяваща проследяване на връзката между получените от потребителя входни параметри (например, $_GET[‘name’]) и тяхното използване в места, изискващи екранция на символи (например, echo «<h1>$name</h1>»), включително чрез проследяване на вериги от междинни присвоявания и извиквания на функции. Като източници на потенциално опасни данни се разглежда употребата на асоциативни масиви $_GET, $_POST и $_COOKIE, но е възможно и определение собствени източници. От действията, изискващи проследяване на екранирането, се разглеждат операции на извеждане, водещи до генериране на съдържание в HTML формат, добавяне на HTTP заглавия или извършване на SQL заявки.

Проверка се прилага в случаи на използване на функции като echo, exec, include и header. При анализа на необходимостта от екраниране се вземат предвид типовете данни, като текст, низове с SQL, HTML и Shell код, низове с параметри за автентикация. Предложеният режим позволява откриване на уязвимости в кода, водещи до междуплатформен скриптинг (XSS) или вмъкване на SQL код.

Допълнително може да се отбележи начало Алфа-тестове на новата версия на PHP 8.0. Релизът е насрочен за 26 ноември. В новата версия се очакват следните нововъведения:

• Включване на JIT компилатора, използването на който ще повиши производителността.
• Поддръжка съюзни типове, определящи колекции от два и повече типа (например „public function foo(Foo|Bar $input): int|float;“).
• Поддръжка атрибути (анотации), позволяващи прикрепяне на метаданни (например информация за типовете) към класовете без използване на синтаксис на Docblock.
• Съкратен синтаксис за определяне на класове, позволяващ комбиниране на определението на конструктора и свойствата.
• Нов тип връщани стойности — static.
• Нов тип — mixed, който може да се използва за определяне на параметри с различни типове в функция.
• Израз throw за обработка на изключения.
• WeakMap за създаване на обекти, които могат да бъдат жертви при събиране на боклук (например, за съхранение на незадължителни кешове).
• Възможност за използване на израза „::class“ за обекти (аналог на извикването на get_class()).
• Възможност определяне в блока catch на изключения, които не са свързани с променливи.
• Възможност оставяне на запетая след последния елемент в списъка на параметрите на функция.
• Нов интерфейс Stringable за идентифициране на всякакви типове низове или данни, които могат да бъдат преобразувани в низ (за които е достъпен метод __toString()).
• Нова функция str_contains(), опростен аналог на strpos за определяне на присъствие на подниз, както и функциите str_starts_with() и str_ends_with() за проверка на съвпадения в началото и края на низ.
• Добавена функция fdiv(), която извършва операция на деление без да изведе грешка в случай на деление на нула.
• Променена логика на свързване на низове. Например, изразът ‘echo «sum: » . $a + $b’ преди се интерпретираше като ‘echo («sum: » . $a) + $b’, а в PHP 8 ще бъде обработен като ‘echo «sum: » . ($a + $b)’.
• Засилена проверка на аритметични и битови операции, например, изразите «[] % [42]» и «$object + 4» ще предизвикат грешка.
• Реализиран стабилен алгоритъм за сортиране, при който при различни изпълнения се запазва реда на повторенията на идентични стойности.

Източник: opennet.ru