Издаване на Psalm 3.12, статичен анализатор за езика PHP. Алфа версия на PHP 8.0

Компания Vimeo публикувано нова версия на статичен анализатор Псалм 3.12, което ви позволява да идентифицирате както очевидни, така и фини грешки в PHP кода, както и автоматично да коригирате някои типове грешки. Системата е подходяща за идентифициране на проблеми както в наследен код, така и в код, който използва модерни функции, въведени в нови клонове на PHP. Кодът на проекта е написан на PHP и разпространява се от под лиценза на MIT.

Псалом идентифицира повечето от проблемите, свързани с неправилно използване на типа, както и различни типични грешки. Например, той поддържа предупреждения за смесване на променливи от различни типове в израз, неправилни логически тестове (като „if ($a && $a) {}“, „if ($a && !$a) {}“ и „ if ( $a) {} elseif ($a) {}"), непълна инициализация на свойствата на обекта. Анализаторът работи в многонишков режим. Възможно е да се извършват постепенни сканирания, които анализират само файлове, които са променени след последното сканиране.

Освен това са предоставени сигурни инструменти за програмиране, които позволяват да се използва анотации във формат Docblock (“/** @var Type */”), за да предостави информация за типове променливи, връщани стойности, функционални параметри, свойства на обекти. Поддържа се също дефиниране на модели на използване на типове и използване на изрази за твърдения. Например:

/** @var низ|null */
$a = foo();

/** @var низ $a */
echo strpos($a, 'здравей');

/** @psalm-assert-if-true B $a */
функция isValidB(A $a): bool {
върне $a instanceof B && $a->isValid();
}

За автоматизиране на отстраняването на открити проблеми е предоставена помощната програма Psalter, която поддържа плъгини и Тя позволява на отстраняване на често срещани проблеми с кода, добавяне на пояснения към типа и извършване на манипулации като преместване на класове от едно пространство на имена в друго, преместване на методи между класове и преименуване на класове и методи.

В новия брой на Псалм изпълнени опцията "--taint-analysis" ви позволява да проследите връзката между входните параметри, получени от потребителя (например $_GET['name']) и тяхното използване на места, които изискват екраниране на знаци (например ехо " $име “), включително чрез вериги за проследяване на междинни присвоявания и извиквания на функции. Използването на асоциативни масиви $_GET, $_POST и $_COOKIE се счита за източници на потенциално опасни данни, но също така е възможно определяне на собствени източници. Действията, които изискват избягване на проследяването, включват изходни операции, които генерират HTML съдържание, добавят HTTP заглавки или изпълняват SQL заявки.

Валидирането се използва при използване на функции като echo, exec, include и header. При анализ на необходимостта от екраниране се вземат предвид типове данни като текст, низове с SQL, HTML и Shell код, низове с параметри за удостоверяване. Предложеният режим ви позволява да идентифицирате уязвимости в кода, които водят до междусайтови скриптове (XSS) или заместване на SQL.

Освен това може да се отбележи начало алфа тестване на новия клон на PHP 8.0. Премиерата е насрочена за 26 ноември. В новия филиал се очакват: иновацииВ:

• включване JIT компилатор, чието използване ще подобри производителността.
• Подкрепа видове съюзи, дефиниращи колекции от два или повече типа (например „публична функция foo(Foo|Bar $input): int|float;”).
• Подкрепа атрибути (анотации), които ви позволяват да обвързвате метаданни (като информация за тип) към класове, без да използвате синтаксиса на Docblock.
• Съкратен синтаксис дефиниции на класове, което ви позволява да комбинирате дефиницията на конструктор и свойства.
• Нов тип връщане - статичен.
• Нов тип - смесен, който може да се използва за определяне дали дадена функция приема параметри от различни типове.
• изразяване хвърлям за обработка на изключения.
• WeakMap за създаване на обекти, които могат да бъдат пожертвани по време на събиране на боклук (например за съхраняване на ненужни кешове).
• Възможност използвайки израза “::class” за обекти (аналогично на извикването на get_class()).
• Възможност дефиниции в блока catch на изключения, които не са обвързани с променливи.
• Възможност оставяйки запетая след последния елемент в списъка с функционални параметри.
• Нов интерфейс Може да се наниже за идентифициране на всички типове низове или данни, които могат да бъдат преобразувани в низ (за които е наличен методът __toString().
• Нова функция str_contains(), опростен аналог на strpos за определяне на появата на подниз, както и функциите str_starts_with() и str_ends_with() за проверка на съвпадения в началото и края на низ.
• Добавена функция fdiv(), който извършва операция за деление, без да извежда грешка при деление на нула.
• Променен логика за свързване на низове. Например изразът „ехо „сума:“ . $a + $b' преди това се интерпретираше като 'ехо ("сума: ". $a) + $b', а в PHP 8 ще се третира като 'ехо "сума: ". ($a + $b)'.
• Стегнати проверка на аритметични и битови операции, например, изразите "[] % [42]" и "$object + 4" ще доведат до грешка.
• Внедрено стабилен алгоритъм за сортиране, при който редът на идентични стойности се запазва в различни серии.

Източник: opennet.ru