Psalm 3.12, staatilise analüsaatori väljalase PHP keele jaoks. PHP 8.0 alfa versioon

Vimeo ettevõte avalikustas uus staatilise analüüsija väljaanne Psalm 3.12, mis tuvastab nii ilmseid kui ka raskesti tabatavaid vigu PHP keeles kirjutatud koodis ning suudab automaatselt parandada mõningaid vigu. Süsteem sobib probleemide tuvastamiseks nii vananenud koodis kui ka koodis, mis kasutab uusi võimalusi, mis on saadaval uutes PHP harudes. Projekti kood on kirjutatud PHP keeles ja levitatakse MIT litsentsi alusel.

Psalm tuvastab suurema osa probleemidest, mis on seotud tüüpide vale kasutamisega, samuti erinevad tüüpilised vead. Näiteks toetatakse hoiatuste väljastamist muutujate tüübid, mis on väljendites segatud, ning vale loogilisi kontrollimisi (nt „if ($a && $a) {}“, „if ($a && !$a) {}“ ja „if ($a) {} elseif ($a) {}“), objekti omaduste mittetäielikku initsialiseerimist. Analüüsija töötab mitme lõime režiimis. On võimalik teostada inkrementaalseid kontrollimisi, kus analüüsitakse ainult faile, mis on muutunud alates eelmise kontrollimise hetkest.

Lisaks pakutakse turvalise programmeerimise vahendeid, mis võimaldavad kasutama annotatsioone formaadis Docblock („/** @var Type */“) muutujate tüüpide, tagastatavates väärtustes, funktsioonide argumentides, objektide omadustes teabe edastamiseks. Samuti toetatakse tüüpide kasutuse mustrite määratlemist ja assert-väljendite rakendamist. Näiteks:

/** @var string|null */
$a = foo();

/** @var string $a */
echo strpos($a, ‘hello’);

/** @psalm-assert-if-true B $a */
function isValidB(A $a) : bool {
return $a instanceof B && $a->isValid();
}

Probleemide automaatseks kõrvaldamiseks pakutakse utiliiti Psalter, mis toetab pluginaid ja kaugelt sulgeda vahekaarte, mis on avatud teistel seadmetel. koodis leitud tüüpiliste probleemide kõrvaldamist, tüübifunktsioonide lisamist ning teostada selliseid toiminguid nagu klasside liigutamine ühest nimede ruumist teise, meetodite liigutamine klasside vahel, klasside ja meetodite ümbernimetamine.

Uues väljaandes Psalm rakendatud valik «—taint-analysis», mis võimaldab jälgida seoseid kasutajalt saadud sisendparameetrite (nt $_GET[‘name’]) ja nende kasutamise vahel kohtades, kus on vajalik märkide põgenemine (nt echo «<h1>$name</h1>»), sealhulgas jälgides vahekokkuvõtteid ja funktsiooni kutsumisi. Potentsiaalselt ohtlike andmete allikateks peetakse seotud massiivide kasutamist $_GET, $_POST ja $_COOKIE, kuid võimalik on ka defineerimine oma allikaid. Tegevused, mis nõuavad jälgimist, hõlmavad väljundioperatsioone, mis toovad kaasa HTML formaadis sisu genereerimise, HTTP-põhiselt lisatud päiseid või SQL-päringute täitmist.

Kontrolli rakendatakse selliste funktsioonide kasutamisel nagu echo, exec, include ja header. Analuusides vajadust põgeneda, arvestatakse andmetüüpe nagu tekst, SQL, HTML ja Shell-kood, autentimisparameetrite stringid. Pakutud režiim võimaldab tuvastada koodis haavatavusi, mis viivad ristsaidimise skriptimise (XSS) või SQL-koodi sisestamiseni.

Lisaks võib märkida esinev PHP 8.0 uue haru alfa-testimine. Vabastamine on planeeritud 26. novembriks. Uues harus oodatakse järgmisi uuendused, näiteks:

• Sissekasutamine JIT-kompilaatorit,, mille rakendamine parandab jõudlust.
• Tugi liidestiile,, mis määratlevad kogusid kahest või enamast tüübist (nt "public function foo(Foo|Bar $input): int|float;").
• Tugi atribuutide (annotatsioonide), mis võimaldavad siduda metaandmeid (nt tüübine teave) klasside külge ilma Docblocki süntaksita.
• Lühendatud süntaks klasside määratlemiseks, mis võimaldab konstruktorite ja omaduste määratlemise kombineerimist.
• Uus tagastatav tüüp — static.
• Uus tüüp — mixed,, mida saab kasutada funktsiooni parameetrite määratlemiseks, mis võtavad erinevaid tüüpe.
• Märkuse throw erindite töötlemiseks.
• WeakMap objektide loomiseks, mida võib prügi kogumise ajal ära visata (nt valikulise vahemälu hoidmiseks).
• Võimalus kasutades väljendit "::class" objektide jaoks (samaväärne get_class() kutsumisega).
• Võimalus erindite määratlemiseks catch plokis, mis ei ole seotud muutujatega.
• Võimalus komma jätmise võimaldamiseks parameetrite loendis viimasest elemendist.
• Uus liides Stringable iga stringi tüübi või andmete tuvastamiseks, mida saab stringiks muuta (kelle jaoks on saadaval meetod __toString()).
• Uus funktsioon str_contains(),lihtsustatud vaste strpos'ile alamhulga määramiseks, samuti funktsioonid str_starts_with() ja str_ends_with() stringi alguses ja lõpus vastavuse kontrollimiseks.
• Lisatud on funktsioon fdiv(),, mis teostab jagamisoperatsiooni, ilma et tekiks viga jagamisel nulliga.
• Muutunud stringide ühendamise loogika. Näiteks väljend ‘echo «sum: » . $a + $b’ tõlgendati varem kui ‘echo («sum: » . $a) + $b’, kuid PHP 8-s töödeldakse seda kui ‘echo «sum: » . ($a + $b)’.
• Tugevdatud aritmeetika ja bititehete kontroll, näiteks väljendid «[] % [42]» ja «$object + 4» toovad kaasa vea.
• Teostatud stabiilne sorteerimisalgoritm, kus erinevatel käivitustel säilitatakse sama väärtuse järjekord.

Allikas: opennet.ru