PHP

Laravel中的不安全SQL函数

我最近了解到并非Laravel中的所有查询构建器功能都是“安全的”。这意味着不应将用户输入直接传递给它,因为它可能会将您的应用程序暴露给SQL注入漏洞。

过去几天很明显,社区对这些不安全的功能知之甚少。许多开发人员和我一样认为,Laravel查询构建器完全阻止了SQL注入攻击。

这篇博文旨在提高人们对什么是安全的,哪些不安全的意识。…

                

深入解析 composer 的自动加载原理

前言

PHP 自5.3的版本之后,已经重焕新生,命名空间、性状(trait)、闭包、接口、PSR 规范、以及 composer 的出现已经让 PHP 变成了一门现代化的脚本语言。PHP 的生态系统也一直在演进,而 composer 的出现更是彻底的改变了以往构建 PHP 应用的方式,我们可以根据 PHP 的应用需求混合搭配最合适的 PHP 组件。当然这也得益于 PSR 规范的提出。


大纲

  • PHP 自动加载功能
  • PSR 规范
  • comoposer 的自动加载过程
  • composer 源码分析

一、PHP 自动加载功能

PHP 自动加载功能的由来

在 PHP 开发过程中,如果希望从外部引入一个 Class ,通常会使用 include 和 require

        

关于PHP的重新构想

PHP重新构想

这篇文章是讲我们如何来改变 PHP, 使它变得更好。这是一个非常主观的清单, 绝不是对核心团队正在做的工作的批评。

类默认为final

对 面向对象 编程的一个常见误解是, 基本都是关于继承的。继承和多态性有它们自己的位置, 但面向对象 远不止这些。

因为这些原则往往被程序员滥用, 他们声称他们写的是"面向对象"的 代码, 我认为语言应该有助于防止我们犯这些错误。

这就是为什么我会使所有类在默认情况下都是final的:…

    

共享APC或OPcache:为什么多个PHP-FPM主机更好

前面我们说了,设置多个php-fpm进程池来分离网站。今天来聊聊多PHP-FPM主机。

您可能不知道APC或OPcache实际上是由PHP中的主进程持有的。APC的任何配置都需要来自.INI配置,以后不能通过ini_set()php_admin_value覆盖这是因为生成的PHP-FPM进程对APC缓存的大小或配置没有影响,因为它由主进程启动和管理。

这本质上意味着APC / OPcache缓存在所有PHP-FPM池之间共享。如果您只有一个网站可供服务,那就没问题了。如果您通过PHP-FPM在同一台服务器上有几十个站点,您应该知道它们都共享相同的APC / OPcache缓存。然后,APC或OPcache大小应该足够大,以保存所有站点的操作码缓存。

为避免这种情况,每个PHP-FPM池也可以单独启动并拥有自己的主进程。这意味着每个站点都可以拥有自己的APC或OPcache,并且可以独立于所有其他PHP-FPM池启动/停止。当需要激活新配置时,一个池配置的更改不会导致重新加载所有其他FPM池,这是“/etc/init.d/php-fpm reload”的默认行为(它将重新加载所有池)。…

        

解决PHP的一个长期存在的通过Opcache泄漏敏感数据的问题。

PHP中有一个非常古老的安全漏洞,它涉及在单个主进程共享多个PHP-FPM池的环境中处理OPCache的方式。这是现在运行PHP的最常见方式,也可能会对您产生影响。

漏洞

PHP有一种加速其解释器动态特性的方法,称为字节码缓存。PHP在每个页面加载中进行解释,这意味着PHP被转换为服务器理解并可以执行的字节码。由于大多数PHP页面不会每秒都更改,因此PHP会将该字节码缓存在内存中,并将其作为响应提供,而不必 每次都编译(“ 解释 ”)PHP脚本。…

        

为PHP-FPM和nginx设置多个进程池而安全地运行多个网站

为PHP-FPM和nginx设置多个进程池而安全地运行多个网站

在本文中,我们将向您展示在不同Linux用户的LEMP上运行站点的安全性和隔离性优势。这将通过为每个nginx服务器块(站点或虚拟主机)创建不同的php-fpm进程池来完成。

设置安全LEMP的原因

在常见的LEMP设置下,只有一个php-fpm进程池为同一用户下的所有站点运行所有PHP脚本。这带来两个主要问题:

  • 如果一个nginx服务器块上的Web应用程序(即子域或单独的站点)受到攻击,此服务器上的所有站点也将受到影响。攻击者能够读取其他站点的配置文件,包括数据库详细信息,甚至可以更改其文件。
  • 如果您想让用户访问服务器上的站点,您几乎可以访问所有站点。例如,您的开发人员需要处理开发环境。但是,即使拥有非常严格的文件权限,您仍然可以在相同的服务器上访问所有站点,包括您的主站点。
                

nginx不同站点的php-fpm的PHP_ADMIN_VALUE值会覆盖其它站点值的问题!

让我们看看这两个Nginx配置:

server {
    listen         80;
    server_name    example.com;
    location / {
        fastcgi_pass 127.0.0.1:9000;
        fastcgi_param SCRIPT_FILENAME  /var/www/html/site1/i.php;
        fastcgi_param PHP_ADMIN_VALUE "open_basedir=$document_root:/var/www/html/site1:/tmp/:/proc/"; #禁止跨目录访问 
        include fastcgi_params;
    }
}
server { 
    listen         80;
    server_name    example.net;
    location / {
        fastcgi_pass 127.0.0.1:9000;
        fastcgi_param SCRIPT_FILENAME  /var/www/html/site2/i.php;
        include fastcgi_params;
    }
            

2019 为什么我们还会继续使用 PHP ?

我们来开门见山地说。  PHP 是一门奇葩的语言。它既不快,语法又不漂亮。还没有遵守良好的软件开发实践。 但我还是使用它开发了很多软件。 那么问题就很明显了 为什么今天还在使用 PHP ?

除了个人理想主义的偏好以外,还有很多理由。这才是我们要讨论的范围。为什么选 PHP 作为我的 Web 开发语言?…

PHP中的pack和unpack函数

PHP有两个重要的冷门函数:packunpack。在网络编程,读写图像文件等场景,这两个函数几乎必不可少。鉴于文件读写/网络编程,或者说字节流处理的重要性,掌握这两个函数是迈向高级PHP编程的基础。

本文先介绍字节字符的区别,说明两个函数存在的必要性和重要性。然后介绍基本用法和使用场景,让读者对其有大体了解,为实际使用中奠定基础。…

重大事件:PHP JIT 已进入 PHP RFC,并将在PHP 8.0中实现

重大事件:PHP JIT 已进入 PHP RFC,并将在PHP 8.0中实现.

查看 https://wiki.php.net/rfc/jit

以下为翻译:

PHP RFC:JIT

介绍

众所周知,PHP 7的性能跳跃最初是由尝试为PHP实现JIT而启动的。我们在2011年开始在Zend(主要是由Dmitry)开展这些工作,从那时起尝试了3种不同的实现。我们从未提出过发布其中任何一个的建议,主要有三个原因:它们导致典型的Web应用程序没有实质性的性能提升; 它们的开发和维护非常复杂; 我们仍然有其他方向可以探索以提高性能,而无需使用JIT。

今日JIT的案例

尽管支持JIT的PHP的大部分基础都没有改变 - 我们相信今天有一个很好的案例可用于支持JIT的PHP。

首先,我们相信我们已经达到了使用其他优化策略提高PHP性能的能力。换句话说 - 除非我们使用JIT,否则我们无法进一步提高PHP的性能。

其次 -