Издание Psalm 3.12, статичен анализатор за PHP. Алфа версия PHP 8.0

Компания Vimeo е публикувала новият брой на статичния анализатор Psalm 3.12, който позволява откриване на както очевидни, така и трудноуловими грешки в кода на PHP, както и автоматично коригиране на някои видове грешки. Системата е подходяща за идентифициране на проблеми както в остарял код, така и в код, използващ съвременни възможности, появили се в новите версии на PHP. Кодът на проекта е написан на PHP и се разпространява под лиценз MIT.

Psalm определя голяма част от проблемите, свързани с неправилната употреба на типове, а също и разнообразни типични грешки. Например, поддържа извеждане на предупреждения за смесване на променливи с различни типове в изрази, неправилни логически проверки (като „if ($a && $a) {}“, „if ($a && !$a) {}“ и „if ($a) {} elseif ($a) {}“), непълна инициализация на свойства на обекти. Анализаторът работи в многопоточен режим. Възможно е провеждане на инкрементални проверки, при които се анализират само файловете, които са променени от последната проверка.

Допълнително се предоставят средства за безопасно програмиране, които позволяват използваме анотации във формат Docblock („/** @var Type */“) за предоставяне на информация за типовете на променливи, връщаните стойности, параметрите на функции и свойствата на обекти. Също така поддържа дефиниране на шаблони за използване на типове и използване на изрази assert. Например:

/** @var string|null */
$a = foo();

/** @var string $a */
echo strpos($a, ‘hello’);

/** @psalm-assert-if-true B $a */
function isValidB(A $a) : bool {
return $a instanceof B && $a->isValid();
}

За автоматизация на отстраняване на откритите проблеми се предоставя инструментът Psalter, който поддържа плъгини и позволява отстранява типични проблеми в кода, добавя анотации за типове и извършва манипулации, като преместване на класове от едно пространство на имена в друго, преместване на методи между класовете, преименуване на класове и методи.

В новия брой на Psalm е реализирана опцията «—taint-analysis», която позволява проследяване на връзката между входните параметри, получени от потребителя (например, $_GET[‘name’]), и тяхното използване на места, където е необходимо екранване на символи (например, echo «<h1>$name</h1>»), включително чрез проследяване на вериги от междинни присвоявания и извиквания на функции. Като източници на потенциално опасни данни се разглежда използването на асоциативни масиви $_GET, $_POST и $_COOKIE, но е възможно и определения собствени източници. От действията, изискващи проследяване на екранирането, се разглеждат операции по извеждане, водещи до генериране на съдържание в HTML формат, добавяне на HTTP заглавки или изпълнение на SQL заявки.

Проверката се прилага при използването на функции като echo, exec, include и header. При анализа на необходимостта от екрантиране се вземат предвид типовете данни, като текст, SQL низове, HTML и Shell код, както и низове с параметри за удостоверяване. Предложеният режим позволява откриването на уязвимости в кода, които водят до крос-сайтови скриптове (XSS) или инжектиране на SQL код.

Допълнително може да бъде отбелязано начало алфа тестване на новата версия PHP 8.0. Пускането е насрочено за 26 ноември. В новата версия се очакват нововъведения, като:

• Включване на JIT компилатора, чиято употреба ще увеличи производителността.
• Поддръжка типове обединение, които определят колекции от два или повече типа (например «public function foo(Foo|Bar $input): int|float;»).
• Поддръжка атрибути (анотации), които позволяват свързването на метаданни (например информация за типовете) с класовете без използване на синтаксис на Docblock.
• Съкратен синтаксис за определяне на класове, позволяващ обединяване на дефиницията на конструктора и свойствата.
• Нов тип върнати стойности — static.
• Нов тип — mixed, който може да се използва за определяне на функция, приемаща параметри с различни типове.
• Израз throw за обработка на изключения.
• WeakMap за създаване на обекти, които могат да бъдат жертва при събиране на боклук (например, за съхраняване на незадължителни кешове).
• Възможност за използване на израза «::class» за обекти (аналог на извикването на get_class()).
• Възможност за определения в блока catch на изключения, които не са свързани с променливи.
• Възможност за оставяне на запетая след последния елемент в списъка с параметри на функция.
• Нов интерфейс Stringable за идентифициране на всякакви класове или данни, които могат да бъдат преобразувани в низ (за които е наличен методът __toString()).
• Нова функция str_contains(), опростен аналог на strpos за определяне на включване на подниз, както и функциите str_starts_with() и str_ends_with() за проверка на съвпадения в началото и края на низа.
• Добавена е функция fdiv(), извършваща операция на деление без изписване на грешка в случай на деление на нула.
• Променена логиката на свързване на низове. Например, изразът ‘echo «sum: » . $a + $b’ преди се интерпретираше като ‘echo («sum: » . $a) + $b’, а в PHP 8 ще бъде обработен като ‘echo «sum: » . ($a + $b)’.
• Ужесточена проверка на аритметични и битови операции, например, изразите «[] % [42]» и «$object + 4» ще доведат до грешка.
• Реализирано стабилен алгоритъм за сортиране, при който при различни изпълнения се запазва реда на подредба на идентични стойности.

Източник: opennet.ru