שחרור של מזמור 3.12, מנתח סטטי לשפת PHP. מהדורת אלפא של PHP 8.0

חברת Vimeo опубликовала מהדורה חדשה של מנתח סטטי תהילים 3.12, המאפשר לך לזהות גם שגיאות ברורות וגם עדינות בקוד PHP, כמו גם לתקן באופן אוטומטי כמה סוגי שגיאות. המערכת מתאימה לזיהוי בעיות הן בקוד מדור קודם והן בקוד המשתמש בתכונות מודרניות שהוצגו בענפים חדשים של PHP. קוד הפרויקט כתוב ב-PHP ו מופץ על ידי תחת רישיון MIT.

תהילים מזהה את רוב הבעיות הקשורות בשימוש לא נכון בסוג, כמו גם שונות טעויות אופייניות. לדוגמה, הוא תומך באזהרות לגבי ערבוב משתנים מסוגים שונים בביטוי, בדיקות לוגיות שגויות (כגון "if ($a && $a) {}", "if ($a && !$a) {}" ו- " if ($a) {} elseif ($a) {}"), אתחול לא שלם של מאפייני האובייקט. המנתח פועל במצב ריבוי חוטים. אפשר לבצע סריקות מצטברות, המנתחות רק קבצים שהשתנו מאז הסריקה האחרונה.

בנוסף, מסופקים כלי תכנות מאובטחים כדי לאפשר שימוש הערות בפורמט דוקבלוק ("/** @var Type */") כדי לספק מידע על סוגי משתנים, ערכי החזרה, פרמטרים של פונקציות, מאפייני אובייקט. הגדרת דפוסי שימוש בסוגים ושימוש בהצהרות assert נתמך גם כן. לדוגמה:

/** @var string|null */
$a = foo();

/** @var string $a */
echo strpos($a, 'שלום');

/** @psalm-assert-if-true B $a */
function isValidB(A $a) : bool {
החזר $a מופע של B && $a->isValid();
}

כדי להפוך את הביטול לאוטומטי של בעיות שנמצאו, מסופק כלי השירות Psalter, התומך בתוספים ו היא מאפשרת פתור בעיות קוד נפוצות, הוסף הערות סוג ובצע מניפולציות כגון העברת מחלקות ממרחב שמות אחד לאחר, העברת שיטות בין מחלקות ושינוי שמות של מחלקות ושיטות.

בגיליון החדש של תהילים מוטמע האפשרות "--taint-analysis" מאפשרת לך לעקוב אחר הקשר בין פרמטרי קלט שהתקבלו מהמשתמש (לדוגמה, $_GET['name']) והשימוש בהם במקומות שדורשים בריחת תווים (לדוגמה, echo " $name "), לרבות באמצעות שרשרות מעקב של מטלות ביניים ושיחות פונקציה. השימוש במערכים אסוציאטיביים $_GET, $_POST ו-$_COOKIE נחשב כמקורות לנתונים שעלולים להיות מסוכנים, אבל זה גם אפשרי הגדרה מקורות משלו. פעולות הדורשות מעקב בריחה כוללות פעולות פלט היוצרות תוכן HTML, הוספת כותרות HTTP או ביצוע שאילתות SQL.

אימות משמש בעת שימוש בפונקציות כגון echo, exec, include ו-header. בעת ניתוח הצורך בבריחה נלקחים בחשבון סוגי נתונים כגון טקסט, מחרוזות עם SQL, HTML וקוד Shell, מחרוזות עם פרמטרים של אימות. המצב המוצע מאפשר לך לזהות נקודות תורפה בקוד שמובילות לסקריפט חוצה אתרים (XSS) או החלפת SQL.

בנוסף, ניתן לציין התחלה בדיקות אלפא של סניף PHP 8.0 החדש. ההשקה מתוכננת ל-26 בנובמבר. בסניף החדש צפויים הבאים: חידושיםכמו:

• הכללה מהדר JIT, שהשימוש בהם ישפר את הפרודוקטיביות.
• תמיכה סוגי איגודים, הגדרת אוספים משני סוגים או יותר (לדוגמה, "פונקציה ציבורית foo(Foo|Bar $input): int|float;").
• תמיכה תכונות (הערות) המאפשרות לך לאגד מטא נתונים (כגון מידע על סוגים) למחלקות מבלי להשתמש בתחביר Docblock.
• תחביר מקוצר הגדרות מחלקות, המאפשרות לך לשלב את ההגדרה של בנאי ומאפיינים.
• סוג החזרה חדש - סטטי.
• סוג חדש - מעורב, שבו ניתן להשתמש כדי לקבוע אם פונקציה מקבלת פרמטרים מסוגים שונים.
• ביטוי לזרוק לטפל בחריגים.
• מפה חלשה ליצור חפצים שניתן להקריב במהלך איסוף האשפה (למשל, לאחסן מטמונים מיותרים).
• הזדמנות שימוש בביטוי "::class" עבור אובייקטים (בדומה לקריאה get_class()).
• הזדמנות הגדרות בגוש ה-catch של חריגים שאינם קשורים למשתנים.
• הזדמנות השארת פסיק אחרי האלמנט האחרון ברשימת הפרמטרים של הפונקציה.
• ממשק חדש ניתן למיתר לזהות כל סוגי מחרוזת או נתונים שניתן להמיר למחרוזת (שעבורה השיטה __toString() זמינה).
• תכונה חדשה str_contains(), אנלוגי פשוט של strpos לקביעת התרחשות של מחרוזת משנה, כמו גם הפונקציות str_starts_with() ו-str_ends_with() לבדיקת התאמות בתחילת מחרוזת ובסוף.
• נוספה פונקציה fdiv(), שמבצע פעולת חלוקה מבלי לזרוק שגיאה בעת חלוקה באפס.
• השתנה לוגיקה של חיבור מחרוזת. לדוגמה, הביטוי 'הד "סכום:" . $a + $b' פורשו בעבר כ-'echo ("sum: ". $a) + $b', וב-PHP 8 יטופלו כ-'echo "sum: ". ($a + $b)'.
• הידק בדיקת פעולות אריתמטיות וסיביות, למשל, הביטויים "[] % [42]" ו-"$object + 4" יגרמו לשגיאה.
• מוטמע אלגוריתם מיון יציב שבו סדר הערכים הזהים נשמר על פני ריצות שונות.

מקור: OpenNet.ru