ການປ່ອຍເພງສັນລະເສີນ 3.12, ການວິເຄາະສະຖິດສໍາລັບພາສາ PHP. ການປ່ອຍ Alpha ຂອງ PHP 8.0

ບໍລິສັດ Vimeo ຈັດພີມມາ ລຸ້ນໃໝ່ຂອງເຄື່ອງວິເຄາະສະຖິດ ເພງສັນລະເສີນ 3.12, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານສາມາດກໍານົດຄວາມຜິດພາດທີ່ຊັດເຈນແລະ subtle ໃນລະຫັດ PHP, ເຊັ່ນດຽວກັນກັບການແກ້ໄຂບາງປະເພດຂອງຄວາມຜິດພາດໂດຍອັດຕະໂນມັດ. ລະບົບແມ່ນເຫມາະສົມສໍາລັບການກໍານົດບັນຫາທັງໃນລະຫັດມໍລະດົກແລະໃນລະຫັດທີ່ໃຊ້ລັກສະນະທີ່ທັນສະໄຫມທີ່ນໍາສະເຫນີໃນສາຂາໃຫມ່ຂອງ PHP. ລະຫັດໂຄງການແມ່ນຂຽນໃນ PHP ແລະ ແຈກຢາຍໂດຍ ພາຍໃຕ້ໃບອະນຸຍາດ MIT.

Psalm ກໍານົດບັນຫາສ່ວນໃຫຍ່ທີ່ກ່ຽວຂ້ອງກັບການນໍາໃຊ້ປະເພດທີ່ບໍ່ຖືກຕ້ອງ, ເຊັ່ນດຽວກັນກັບຕ່າງໆ ຄວາມຜິດພາດປົກກະຕິ. ຕົວຢ່າງ, ມັນສະຫນັບສະຫນູນຄໍາເຕືອນກ່ຽວກັບການປະສົມຕົວແປຂອງປະເພດຕ່າງໆໃນການສະແດງຜົນ, ການທົດສອບເຫດຜົນທີ່ບໍ່ຖືກຕ້ອງ (ເຊັ່ນ: "ຖ້າ ($a && $a) {}", "ຖ້າ ($a && !$a) {}" ແລະ " if ($a) {} elseif ($a) {}"), ການເລີ່ມຕົ້ນບໍ່ສົມບູນຂອງຄຸນສົມບັດວັດຖຸ. ເຄື່ອງວິເຄາະແລ່ນໃນຮູບແບບຫຼາຍກະທູ້. ມັນເປັນໄປໄດ້ທີ່ຈະປະຕິບັດການສະແກນເພີ່ມຂຶ້ນ, ເຊິ່ງວິເຄາະພຽງແຕ່ໄຟລ໌ທີ່ມີການປ່ຽນແປງນັບຕັ້ງແຕ່ການສະແກນຄັ້ງສຸດທ້າຍ.

ນອກຈາກນັ້ນ, ເຄື່ອງມືການຂຽນໂປລແກລມທີ່ປອດໄພແມ່ນສະຫນອງໃຫ້ເພື່ອອະນຸຍາດໃຫ້ ໃຊ້ ຄໍາ​ອະ​ທິ​ບາຍ​ໃນ​ຮູບ​ແບບ​ Docblock (“/** @var Type */”) ເພື່ອສະໜອງຂໍ້ມູນກ່ຽວກັບປະເພດຕົວແປ, ຄ່າກັບຄືນ, ພາລາມິເຕີຟັງຊັນ, ຄຸນສົມບັດວັດຖຸ. ການກໍານົດຮູບແບບການນໍາໃຊ້ປະເພດແລະການນໍາໃຊ້ຄໍາຖະແຫຼງການຢືນຢັນແມ່ນສະຫນັບສະຫນູນ. ຍົກ​ຕົວ​ຢ່າງ:

/** @var string|null */
$a = foo();

/** @var string $a */
echo strpos($a, 'ສະບາຍດີ');

/** @psalm-assert-if-true B$a */
ຟັງຊັນ isValidB(A $a): bool {
ກັບຄືນ $a ຕົວຢ່າງຂອງ B && $a->isValid();
}

ເພື່ອອັດຕະໂນມັດການລົບລ້າງບັນຫາທີ່ພົບເຫັນ, Psalter utility ແມ່ນສະຫນອງໃຫ້, ເຊິ່ງສະຫນັບສະຫນູນ plugins ແລະ. ອະນຸຍາດ ແກ້ໄຂບັນຫາລະຫັດທົ່ວໄປ, ເພີ່ມຄໍາບັນຍາຍປະເພດ, ແລະປະຕິບັດການຫມູນໃຊ້ເຊັ່ນ: ການເຄື່ອນຍ້າຍຫ້ອງຮຽນຈາກ namespace ຫນຶ່ງໄປຫາອື່ນ, ວິທີການຍ້າຍລະຫວ່າງຫ້ອງຮຽນ, ແລະປ່ຽນຊື່ຫ້ອງຮຽນແລະວິທີການ.

ໃນສະບັບໃຫມ່ຂອງຄໍາເພງ ປະຕິບັດ ທາງເລືອກ "--taint-analysis" ຊ່ວຍໃຫ້ທ່ານສາມາດຕິດຕາມຄວາມສໍາພັນລະຫວ່າງຕົວກໍານົດການປ້ອນຂໍ້ມູນທີ່ໄດ້ຮັບຈາກຜູ້ໃຊ້ (ຕົວຢ່າງ: $_GET['name']) ແລະການນໍາໃຊ້ຂອງພວກເຂົາໃນສະຖານທີ່ທີ່ຕ້ອງການການຫລົບຫນີຂອງຕົວອັກສອນ (ຕົວຢ່າງ, echo ". $name "), ລວມທັງໂດຍຜ່ານລະບົບຕ່ອງໂສ້ການຕິດຕາມຂອງການມອບຫມາຍລະດັບປານກາງແລະການໂທຫາຫນ້າທີ່. ການນໍາໃຊ້ arrays ທີ່ກ່ຽວຂ້ອງ $_GET, $_POST ແລະ $_COOKIE ຖືກພິຈາລະນາເປັນແຫຼ່ງຂອງຂໍ້ມູນທີ່ອາດຈະເປັນອັນຕະລາຍ, ແຕ່ມັນກໍ່ເປັນໄປໄດ້ ນິຍາມ ແຫຼ່ງຂໍ້ມູນຂອງຕົນເອງ. ການປະຕິບັດທີ່ຮຽກຮ້ອງໃຫ້ມີການຕິດຕາມການຫລົບຫນີລວມເຖິງການດໍາເນີນງານຜົນຜະລິດທີ່ສ້າງເນື້ອຫາ HTML, ເພີ່ມສ່ວນຫົວ HTTP, ຫຼືດໍາເນີນການສອບຖາມ SQL.

ການກວດສອບຖືກໃຊ້ເມື່ອໃຊ້ຟັງຊັນເຊັ່ນ echo, exec, include ແລະ header. ເມື່ອວິເຄາະຄວາມຕ້ອງການສໍາລັບການຫລົບຫນີ, ປະເພດຂໍ້ມູນເຊັ່ນ: ຂໍ້ຄວາມ, strings ທີ່ມີ SQL, HTML ແລະລະຫັດ Shell, ສະຕິງທີ່ມີຕົວກໍານົດການຢືນຢັນແມ່ນຖືກພິຈາລະນາ. ໂຫມດທີ່ສະເຫນີຊ່ວຍໃຫ້ທ່ານສາມາດກໍານົດຈຸດອ່ອນໃນລະຫັດທີ່ນໍາໄປສູ່ການສະຄິບຂ້າມເວັບໄຊທ໌ (XSS) ຫຼືການທົດແທນ SQL.

ນອກຈາກນັ້ນ, ມັນສາມາດສັງເກດເຫັນໄດ້ ການເລີ່ມຕົ້ນ ການທົດສອບ alpha ຂອງສາຂາ PHP 8.0 ໃຫມ່. ການເປີດຕົວແມ່ນກໍານົດສໍາລັບວັນທີ 26 ພະຈິກ. ຄາດວ່າຈະມີສາຂາໃໝ່ຕໍ່ໄປນີ້: ນະວັດຕະກໍາຄື:

• ລວມ JIT compiler, ການນໍາໃຊ້ທີ່ຈະປັບປຸງຜົນຜະລິດ.
• ສະຫນັບສະຫນູນ ປະເພດສະຫະພັນ, ການກໍານົດຄໍເລັກຊັນຂອງສອງປະເພດ ຫຼືຫຼາຍກວ່ານັ້ນ (ຕົວຢ່າງ, “foo foo(Foo|Bar $input): int|float;”).
• ສະຫນັບສະຫນູນ ຄຸນ​ລັກ​ສະ​ນະ (ຄໍາບັນຍາຍ) ທີ່ອະນຸຍາດໃຫ້ທ່ານສາມາດຜູກມັດ metadata (ເຊັ່ນ: ຂໍ້ມູນປະເພດ) ກັບຫ້ອງຮຽນໂດຍບໍ່ມີການນໍາໃຊ້ Docblock syntax.
• ຫຍໍ້ syntax ຄໍານິຍາມຂອງຊັ້ນ, ຊ່ວຍໃຫ້ທ່ານສາມາດສົມທົບຄໍານິຍາມຂອງຕົວສ້າງແລະຄຸນສົມບັດ.
• ປະເພດຄືນໃຫມ່ - ໄຟຟ້າສະຖິດ.
• ປະ​ເພດ​ໃຫມ່ - ປະສົມ, ເຊິ່ງສາມາດຖືກນໍາໃຊ້ເພື່ອກໍານົດວ່າຫນ້າທີ່ຍອມຮັບພາລາມິເຕີຂອງປະເພດຕ່າງໆ.
• ການສະແດງອອກ ຖິ້ມ ເພື່ອຈັດການຂໍ້ຍົກເວັ້ນ.
• WeakMap ເພື່ອສ້າງວັດຖຸທີ່ສາມາດເສຍສະລະໄດ້ໃນລະຫວ່າງການເກັບຂີ້ເຫຍື້ອ (ຕົວຢ່າງ, ເພື່ອເກັບຮັກສາຖານຄວາມຈໍາທີ່ບໍ່ຈໍາເປັນ).
• ໂອກາດ ການ​ນໍາ​ໃຊ້​ສໍາ​ລັບ "::class​" ສໍາ​ລັບ​ວັດ​ຖຸ (ການ​ປຽບ​ທຽບ​ກັບ​ການ​ເອີ້ນ get_class()​)​.
• ໂອກາດ ຄໍານິຍາມໃນຕັນຈັບຂອງຂໍ້ຍົກເວັ້ນທີ່ບໍ່ໄດ້ຜູກມັດກັບຕົວແປ.
• ໂອກາດ ອອກຈາກເຄື່ອງໝາຍຈຸດຫຼັງຈາກອົງປະກອບສຸດທ້າຍໃນລາຍການພາລາມິເຕີຟັງຊັນ.
• ການໂຕ້ຕອບໃຫມ່ ສາມາດໃສ່ສາຍໄດ້ ເພື່ອລະບຸປະເພດສະຕຣິງ ຫຼືຂໍ້ມູນທີ່ສາມາດປ່ຽນເປັນສະຕຣິງ (ເຊິ່ງວິທີການ __toString() ສາມາດໃຊ້ໄດ້).
• ຄຸນນະສົມບັດໃຫມ່ str_contains(), ການປຽບທຽບແບບງ່າຍດາຍຂອງ strpos ສໍາລັບການກໍານົດການປະກົດຕົວຂອງສາຍຍ່ອຍ, ເຊັ່ນດຽວກັນກັບຫນ້າທີ່ str_starts_with() ແລະ str_ends_with() ສໍາລັບການກວດສອບການຈັບຄູ່ໃນຕອນຕົ້ນແລະທ້າຍຂອງ string.
• ເພີ່ມຄຸນສົມບັດ fdiv(), ເຊິ່ງດໍາເນີນການປະຕິບັດການແບ່ງສ່ວນໂດຍບໍ່ມີການຖິ້ມຄວາມຜິດພາດໃນເວລາທີ່ການແບ່ງດ້ວຍສູນ.
• ປ່ຽນແປງ ສະຕິງການເຂົ້າຮ່ວມເຫດຜົນ. ຕົວຢ່າງ, ການສະແດງອອກ 'echo "sum:". $a + $b' ໄດ້ຖືກຕີຄວາມວ່າ 'echo ("sum: ". $a) + $b', ແລະໃນ PHP 8 ຈະຖືກປະຕິບັດເປັນ 'echo "sum:" . ($a + $b)'.
• ເຄັ່ງຄັດ ການກວດສອບການດໍາເນີນການເລກຄະນິດແລະບິດ, ສໍາລັບການຍົກຕົວຢ່າງ, ການສະແດງອອກ "[] % [42]" ແລະ "$object + 4" ຈະເຮັດໃຫ້ເກີດຄວາມຜິດພາດ.
• ປະຕິບັດ ສູດການຮຽງລຳດັບທີ່ຄົງທີ່ທີ່ລຳດັບຂອງຄ່າທີ່ຄືກັນຖືກຮັກສາໄວ້ໃນທົ່ວໄລຍະຕ່າງໆ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru