Utgåvan av Psalm 3.12, en statisk analysator för PHP-språket. Alfa-version av PHP 8.0

Företaget Vimeo publicerade ny release av statisk analysator Psalm 3.12, som gör det möjligt att upptäcka både uppenbara och svårfångade fel i PHP-kod, samt automatiskt åtgärda vissa typer av fel. Systemet är lämpligt för att identifiera problem i både gammal och modern kod, som använder nya funktioner som introducerats i de senaste versionerna av PHP. Projektkoden är skriven i PHP och sprids licensieras under MIT.

Psalm identifierar en majoritet av de problem som är relaterade till felaktig användning av typer, samt olika vanliga fel. Till exempel kan varningar om blandning av variabler med olika typer i uttryck, felaktiga logiska kontroller (som «if ($a && $a) {}», «if ($a && !$a) {}» och «if ($a) {} elseif ($a) {}»), och ofullständig initialisering av objektets egenskaper visas. Analysatorn körs i flertrådat läge. Det är möjligt att utföra inkrementella kontroller, där endast de filer som har ändrats sedan den senaste kontrollen analyseras.

Dessutom tillhandahålls verktyg för säkert programmerande, vilket möjliggör använda annoteringar i formatet Docblock (''/*@var Type */'') för att ge information om typer av variabler, returnerade värden, funktionsparametrar och objektens egenskaper. Definition av användningsmönster för typer och tillämpning av assertions stöds också. Till exempel:

/** @var string|null */
$a = foo();

/** @var string $a */
echo strpos($a, 'hello');

/** @psalm-assert-if-true B $a */
function isValidB(A $a) : bool {
return $a instanceof B && $a->isValid();
}

För att automatisera åtgärder av upptäckta problem finns det ett verktyg som heter Psalter, som stöder plugins och möjliggör åtgärda typiska problem i koden, lägga till typannoteringar samt utföra åtgärder som att flytta klasser från ett namnrymd till ett annat, flytta metoder mellan klasser, och byta namn på klasser och metoder.

I den nya versionen av Psalm har möjligheten alternativet «—taint-analysis» som gör det möjligt att spåra sambandet mellan de inmatningsparametrar som erhållits från användaren (t.ex. $_GET[‘name’]) och deras användning på ställen som kräver teckenescapning (t.ex. echo «<h1>$name</h1>»), inklusive genom att spåra kedjor av mellanliggande tilldelningar och funktionsanrop. Som källor för potentiellt farliga data betraktas användningen av associativa arrayer $_GET, $_POST och $_COOKIE, men det är även möjligt definition egna källor. Bland de åtgärder som kräver övervakning av escaping beaktas utmatningsoperationer som leder till att innehåll genereras i HTML-format, tillägg av HTTP-huvuden eller utförande av SQL-frågor.

Kontrollen tillämpas vid användning av funktioner som echo, exec, include och header. Vid analys av behovet av rymning beaktas datatyper såsom text, strängar med SQL, HTML och shellkod, samt strängar med autentisering parametrar. Den föreslagna metoden möjliggör identifiering av sårbarheter i koden som kan leda till cross-site scripting (XSS) eller SQL-injektion.

Dessutom kan det nämnas början alfatesta av den nya grenen PHP 8.0. Utgåvan är planerad till den 26 november. I den nya grenen förväntas sådana nyheter, som:

• Aktivering JIT-kompilatorn, vars användning kommer att öka prestandan.
• Support union-typer, som definierar samlingar av två eller fler typer (t.ex. "public function foo(Foo|Bar $input): int|float;" ).
• Support attribut (anteckningar), som gör det möjligt att koppla metadata (t.ex. typinformation) till klasser utan att använda Docblock-syntax.
• Förkortad syntax för klassdefinitioner, vilket gör det möjligt att kombinera definitionerna av konstruktorer och egenskaper.
• Nytt returvärdestyp — statisk.
• Ny typ — mixed, som kan användas för att definiera en funktion som tar emot parametrar med olika typer.
• Uttrycket throw för hantering av undantag.
• WeakMap för att skapa objekt som kan släppas vid skräpinsamling (t.ex. för att lagra valfria cacher).
• Möjlighet användning av uttrycket "::class" för objekt (motsvarande anropet get_class()).
• Möjlighet definitioner i catch-blocket av undantag som inte är kopplade till variabler.
• Möjlighet lämna ett kommatecken efter det sista elementet i funktionsparameterlistan.
• Nytt gränssnitt Stringable för att identifiera alla strängtyper eller data som kan konverteras till en sträng (för vilka metoden __toString() är tillgänglig).
• Ny funktion str_contains(), en förenklad motsvarighet till strpos för att identifiera förekomsten av en delsträng, samt funktionerna str_starts_with() och str_ends_with() för att kontrollera överensstämmelse i början och slutet av strängen.
• Funktionalitet har lagts till fdiv(), som utför division utan att ge felmeddelande vid division med noll.
• Ändrad logiken för strängsammanfogning. Till exempel, uttrycket ‘echo «sum: » . $a + $b’ tolkades tidigare som ‘echo («sum: » . $a) + $b’, men i PHP 8 kommer det att hanteras som ‘echo «sum: » . ($a + $b)’.
• Skärpt kontroll av aritmetiska och bitvisa operationer, till exempel uttrycken «[] % [42]» och «$object + 4» kommer att leda till fel.
• Implementerad ett stabilt sorteringsalgoritm, där ordningen på lika värden bevaras vid olika körningar.

Källa: opennet.ru