ფსალმუნის 3.12 გამოშვება, სტატიკური ანალიზატორი PHP ენისთვის. PHP 8.0-ის ალფა გამოშვება

კომპანია Vimeo опубликовала სტატიკური ანალიზატორის ახალი გამოშვება ფსალმუნი 3.12, რომელიც საშუალებას გაძლევთ ამოიცნოთ როგორც აშკარა, ისე დახვეწილი შეცდომები PHP კოდში, ასევე ავტომატურად გამოასწოროთ ზოგიერთი სახის შეცდომები. სისტემა შესაფერისია პრობლემების იდენტიფიცირებისთვის, როგორც ძველ კოდში, ასევე კოდში, რომელიც იყენებს PHP-ის ახალ ფილიალებში დანერგილ თანამედროვე ფუნქციებს. პროექტის კოდი იწერება PHP-ში და ვრცელდება MIT ლიცენზიით.

ფსალმუნი იდენტიფიცირებს არასწორ ტიპთან დაკავშირებული პრობლემების უმეტესობას, ისევე როგორც სხვადასხვა ტიპიური შეცდომები. მაგალითად, ის მხარს უჭერს გაფრთხილებებს გამონათქვამში სხვადასხვა ტიპის ცვლადების შერევის შესახებ, არასწორი ლოგიკური ტესტები (როგორიცაა „if ($a && $a) {}“, „if ($a && !$a) {}“ და „ if ($a) {} elseif ($a) {}"), ობიექტის თვისებების არასრული ინიციალიზაცია. ანალიზატორი მუშაობს მრავალძაფის რეჟიმში. შესაძლებელია დამატებითი სკანირების ჩატარება, რომელიც აანალიზებს მხოლოდ ფაილებს, რომლებიც შეიცვალა ბოლო სკანირების შემდეგ.

გარდა ამისა, უზრუნველყოფილია უსაფრთხო პროგრამირების ხელსაწყოები გამოყენება ანოტაციები ფორმატში Docblock (“/** @var Type */”) ინფორმაციის მიწოდება ცვლადის ტიპების, დაბრუნების მნიშვნელობების, ფუნქციის პარამეტრების, ობიექტის თვისებების შესახებ. ასევე მხარდაჭერილია ტიპის გამოყენების შაბლონების განსაზღვრა და მტკიცების განცხადებების გამოყენება. Მაგალითად:

/** @var string|null */
$a = foo();

/** @var string $a */
echo strpos($a, 'გამარჯობა');

/** @psalm-assert-if-true B $a */
ფუნქცია isValidB(A $a) : bool {
დაბრუნება $a მაგალითის B && $a->isValid();
}

აღმოჩენილი პრობლემების აღმოფხვრის ავტომატიზაციისთვის, მოცემულია Psalter პროგრამა, რომელიც მხარს უჭერს დანამატებს და საშუალებას აძლევს კოდის საერთო პრობლემების გადაჭრა, ტიპის ანოტაციების დამატება და მანიპულაციების შესრულება, როგორიცაა კლასების გადატანა ერთი სახელთა სივრციდან მეორეში, მეთოდების გადატანა კლასებს შორის და კლასებისა და მეთოდების გადარქმევა.

ფსალმუნის ახალ ნომერში განხორციელდა "--taint-analysis" ვარიანტი საშუალებას გაძლევთ თვალყური ადევნოთ მომხმარებლისგან მიღებულ შეყვანის პარამეტრებს (მაგალითად, $_GET['name']) და მათ გამოყენებას ისეთ ადგილებში, რომლებიც საჭიროებენ სიმბოლოების გაქცევას (მაგალითად, ექო " $name "), მათ შორის შუალედური დავალებების და ფუნქციური ზარების თვალთვალის ჯაჭვების მეშვეობით. ასოციაციური მასივების გამოყენება $_GET, $_POST და $_COOKIE განიხილება პოტენციურად საშიში მონაცემების წყაროდ, მაგრამ ასევე შესაძლებელია განსაზღვრა საკუთარი წყაროები. მოქმედებები, რომლებიც საჭიროებენ თვალყურის დევნას, მოიცავს გამომავალ ოპერაციებს, რომლებიც წარმოქმნიან HTML კონტენტს, ამატებენ HTTP სათაურებს ან ასრულებენ SQL მოთხოვნებს.

ვალიდაცია გამოიყენება ფუნქციების გამოყენებისას, როგორიცაა echo, exec, include და header. გაქცევის საჭიროების გაანალიზებისას მხედველობაში მიიღება მონაცემთა ტიპები, როგორიცაა ტექსტი, სტრიქონები SQL, HTML და Shell კოდით, სტრიქონები ავტორიზაციის პარამეტრებით. შემოთავაზებული რეჟიმი საშუალებას გაძლევთ ამოიცნოთ დაუცველობა კოდში, რომელიც იწვევს ჯვარედინი სკრიპტირებას (XSS) ან SQL ჩანაცვლებას.

გარდა ამისა, შეიძლება აღინიშნოს დაიწყოს ახალი PHP 8.0 ფილიალის ალფა ტესტირება. გამოშვება 26 ნოემბერს არის დაგეგმილი. ახალ ფილიალში მოსალოდნელია შემდეგი: ინოვაციებიროგორც:

• ჩართვა JIT შემდგენელი, რომლის გამოყენება გააუმჯობესებს პროდუქტიულობას.
• მხარდაჭერა კავშირის ტიპები, განსაზღვრავს ორი ან მეტი ტიპის კოლექციებს (მაგალითად, "public function foo(Foo|Bar $input): int|float;").
• მხარდაჭერა ატრიბუტები (ანოტაციები), რომლებიც საშუალებას გაძლევთ დააკავშიროთ მეტამონაცემები (როგორიცაა ტიპის ინფორმაცია) კლასებთან Docblock სინტაქსის გამოყენების გარეშე.
• შემოკლებული სინტაქსი კლასის განმარტებები, რაც საშუალებას გაძლევთ დააკავშიროთ კონსტრუქტორისა და თვისებების განმარტება.
• დაბრუნების ახალი ტიპი - სტატიკური.
• ახალი ტიპი - შერეული, რომელიც შეიძლება გამოყენებულ იქნას იმის დასადგენად, იღებს თუ არა ფუნქცია სხვადასხვა ტიპის პარამეტრებს.
• გამოხატვა გადაყარეთ გამონაკლისების დასამუშავებლად.
• სუსტი რუკა ობიექტების შექმნა, რომლებიც შეიძლება შეიწიროს ნაგვის შეგროვების დროს (მაგალითად, არასაჭირო ქეშის შესანახად).
• შესაძლებლობა ობიექტებისთვის გამოთქმის „::class“ გამოყენებით (get_class() გამოძახების ანალოგი).
• შესაძლებლობა განმარტებები გამონაკლისების catch ბლოკში, რომლებიც არ არის დაკავშირებული ცვლადებთან.
• შესაძლებლობა ფუნქციის პარამეტრების სიაში ბოლო ელემენტის შემდეგ მძიმის დატოვება.
• ახალი ინტერფეისი სიმებიანი ნებისმიერი სტრიქონის ტიპის ან მონაცემების იდენტიფიცირება, რომელიც შეიძლება გარდაიქმნას სტრიქონად (რისთვისაც ხელმისაწვდომია __toString() მეთოდი).
• Ახალი თვისება str_contains(), strpos-ის გამარტივებული ანალოგი ქვესტრინგის არსებობის დასადგენად, ასევე ფუნქციები str_starts_with() და str_ends_with() სტრიქონის დასაწყისში და ბოლოს შესატყვისების შესამოწმებლად.
• დამატებულია ფუნქცია fdiv (), რომელიც ასრულებს გაყოფის ოპერაციას შეცდომის გარეშე, თუ იყოფა ნულზე.
• შეიცვალა სიმებიანი შეერთების ლოგიკა. მაგალითად, გამოთქმა 'echo "sum:" . $a + $b' ადრე ინტერპრეტირებული იყო, როგორც 'echo ("sum: " . $a) + $b' და PHP 8-ში განიხილება როგორც 'echo "sum: " . ($a + $b)'.
• გამკაცრდა არითმეტიკული და ბიტის ოპერაციების შემოწმება, მაგალითად, გამოთქმები "[] % [42]" და "$object + 4" გამოიწვევს შეცდომას.
• განხორციელდა სტაბილური დახარისხების ალგორითმი, რომელშიც იდენტური მნიშვნელობების თანმიმდევრობა დაცულია სხვადასხვა გაშვებებში.

წყარო: opennet.ru