empresa vimeo nueva versión del analizador estático , que le permite identificar errores obvios y sutiles en el código PHP, así como corregir automáticamente algunos tipos de errores. El sistema es adecuado para identificar problemas tanto en código heredado como en código que utiliza características modernas introducidas en nuevas ramas de PHP. El código del proyecto está escrito en PHP y bajo la licencia del MIT.
El Salmo identifica la mayoría de los problemas asociados con el uso incorrecto de tipos, así como varios . Por ejemplo, admite advertencias sobre la combinación de variables de diferentes tipos en una expresión, pruebas lógicas incorrectas (como “if ($a && $a) {}”, “if ($a && !$a) {}” y “ if ( $a) {} elseif ($a) {}"), inicialización incompleta de las propiedades del objeto. El analizador se ejecuta en modo multiproceso. Es posible realizar análisis incrementales, que analizan sólo los archivos que han cambiado desde el último análisis.
Además, se proporcionan herramientas de programación seguras para permitir anotaciones en el formato (“/** @var Type */”) para proporcionar información sobre tipos de variables, valores de retorno, parámetros de funciones y propiedades de objetos. También se admite la definición de patrones de uso de tipos y el uso de declaraciones de afirmación. Por ejemplo:
/** @var cadena|nulo */
$a = foo();
/** @var cadena $a */
echo strpos($a, 'hola');
/** @salmo-afirmar-si-verdadero B $a */
la función esValidB(A $a): bool {
return $una instancia de B && $a->isValid();
}
Para automatizar la eliminación de problemas encontrados, se proporciona la utilidad Psalter, que admite complementos y solucionar problemas comunes de código, agregar anotaciones de tipo y realizar manipulaciones como mover clases de un espacio de nombres a otro, mover métodos entre clases y cambiar el nombre de clases y métodos.
En la nueva edición de Salmo la opción "--taint-analysis" le permite rastrear la relación entre los parámetros de entrada recibidos del usuario (por ejemplo, $_GET['nombre']) y su uso en lugares que requieren caracteres de escape (por ejemplo, echo " $nombre "), incluso a través de cadenas de seguimiento de asignaciones intermedias y llamadas a funciones. El uso de matrices asociativas $_GET, $_POST y $_COOKIE se considera fuente de datos potencialmente peligrosos, pero también es posible fuentes propias. Las acciones que requieren escapar del seguimiento incluyen operaciones de salida que generan contenido HTML, agregan encabezados HTTP o ejecutan consultas SQL.
La validación se utiliza cuando se utilizan funciones como echo, exec, include y header. Al analizar la necesidad de escape, se tienen en cuenta tipos de datos como texto, cadenas con código SQL, HTML y Shell, cadenas con parámetros de autenticación. El modo propuesto le permite identificar vulnerabilidades en el código que conducen a secuencias de comandos entre sitios (XSS) o sustitución de SQL.
Adicionalmente, se puede señalar Prueba alfa de la nueva rama PHP 8.0. El lanzamiento está previsto para el 26 de noviembre. En la nueva sucursal se espera lo siguiente: como
- , cuyo uso mejorará la productividad.
- Apoyar , definiendo colecciones de dos o más tipos (por ejemplo, “función pública foo(Foo|Bar $input): int|float;”).
- Apoyar (anotaciones) que le permiten vincular metadatos (como información de tipo) a clases sin utilizar la sintaxis de Docblock.
- definiciones de clase, lo que le permite combinar la definición de un constructor y propiedades.
- Nuevo tipo de devolución - .
- Nuevo tipo - , que se puede utilizar para determinar si una función acepta parámetros de diferentes tipos.
- Expresión para manejar excepciones.
- para crear objetos que puedan sacrificarse durante la recolección de basura (por ejemplo, para almacenar cachés innecesarios).
- usando la expresión “::class” para objetos (análoga a llamar a get_class()).
- definiciones en el bloque catch de excepciones que no están vinculadas a variables.
- dejando una coma después del último elemento en la lista de parámetros de la función.
- Nuevas interferencias para identificar cualquier tipo de cadena o datos que se puedan convertir en una cadena (para los cuales el método __toString() está disponible).
- Nueva caracteristica , un análogo simplificado de strpos para determinar la aparición de una subcadena, así como las funciones str_starts_with() y str_ends_with() para verificar coincidencias al principio y al final de una cadena.
- Característica añadida , que realiza una operación de división sin arrojar un error al dividir por cero.
- Lógica de unión de cadenas. Por ejemplo, la expresión 'echo "suma:" . $a + $b' se interpretaba anteriormente como 'echo ("suma: " . $a) + $b', y en PHP 8 se tratará como 'echo "suma: " . ($a + $b)'.
- comprobar operaciones aritméticas y de bits, por ejemplo, las expresiones "[] % [42]" y "$object + 4" dará como resultado un error.
- un algoritmo de clasificación estable en el que el orden de valores idénticos se conserva en diferentes ejecuciones.
Fuente: opennet.ru