PHP Дайджест № 213 (27 сентября – 11 октября 2021)

Фото: Noriko YAMAMOTO ^[1].

Подборка свежих новостей и материалов из мира PHP.

Для PHP 8.2 предложили добавить тип null; опубликована уязвимость в PHP с disable_functions, которая на самом деле не уязвимость; новый сайт от сообщества — phpopendocs.com; PHP 8.1 RC 3, Xdebug 3.1 и другие релизы.

Также в выпуске порция инструментов, полезные статьи, видео.

Приятного чтения!

Этот дайджест подготовлен совместно с Insolita ^[2]. Если понравился выпуск, плюсаните пост, пожалуйста.

Новости

• PHP 8.1.0 RC 3 ^[3]

  Очередной релиз-кандидат доставлен по расписанию ^[4]. Что нового будет в PHP 8.1 можно посмотреть в постах What's new in PHP 8.1 ^[5] и PHP 8.1: before and after ^[6] и на PHP.Watch ^[7].

  Свежий пост от Brent Roose про использование оператора new для дефолтных значений параметров: PHP 8.1: new in initializers ^[8].

• «Уязвимость» в PHP для обхода disable_functions

  Исследователь опубликовал ^[9] метод обхода ограничений, заданных при помощи директивы disable_functions в php.ini.

  С помощью disable_functions ^[10] можно запретить использование в PHP-скриптах функции, например, можно запретить system, exec, proc_open и shell_exec для блокирования вызова внешних программ.
  // eval(), кстати, не получится запретить ^[11].

  Уязвимостью эту проблему назвать нельзя, потому что disable_functions — это не секьюрити фича и полагаться на нее ради безопасности — плохая идея.

  Напишите в комментариях, используете ли вы disable_functions?

  Цитата Никиты Попова на Reddit ^[12]:

  Является ли что-то проблемой безопасности, зависит от вашей модели угрозы. Что касается проекта PHP, то наша модель угрозы — это удаленный злоумышленник. Мы считаем секьюрити проблемой случай, когда злоумышленник имеет возможность выполнить произвольный PHP-код на сервере (RCE).

  Подробнее о том, что в PHP считается проблемой безопасности, а что нет: wiki.php.net/security ^[13].

  А если интересно разобраться, то вот ^[14] классный разбор того, как работает disable_functions и как устроены подобные эксплоиты ^[14]. И даже как можно автоматически искать подобные проблемы ^[15].

  В тему разбор реальной RCE-уязвимости в fiveai/Cachet ^[16], популярном проекте на Laravel: Code Execution via Laravel Configuration Injection ^[17].

• composer/composer 2.1.9 ^[18]

  В обновлении исправлена уязвимость на Windows (CVE-2021-41116 ^[19]). Пользователям Windows обязательно стоит обновиться.

• PHPOpenDocs.com ^[20]

  Экспериментальный сайт для полуофициального контента по PHP.

  Из полезного уже есть, страница для спонсорства ^[21] со списком контрибьюторов сгруппированных по версиям PHP. А также раздел Internals ^[22] с кучей ссылок про устройство кода PHP и как начать контрибьютить.

• PHP Russia 2022 ^[23]

  Уже известны даты для конференции — 6-7 июня. Начали подготовку и прием заявок на доклады!

PHP Internals

• [RFC] Allow null as standalone type ^[24]

  Предлагается добавить возможность использовать null в декларациях типов.

  Во-первых, это недостающий кусок для полноты системы типов в PHP — есть mixed, добавили never, объединения и пересечения, не хватает юнит-типа ^[25].

  Во-вторых, такой тип позволит покрыть некоторые граничные случаи и улучшить статический анализ.

  Например, в объединениях можно использовать псевдотип false, но нельзя указать, что функция возвращает false|null, только bool|null.

• [RFC] Deprecate partially supported callables ^[26]

  Этот RFC уже на голосовании и, судя по всему, пройдет в PHP 8.2. Подробнее про предложение читайте в PHP-Дайджесте № 211 ^[27].

Инструменты

• Xdebug 3.1.0 ^[28] — Обновился популярный отладчик для PHP. Добавлена поддержка PHP 8.1, много фиксов и несколько узкоспецифических фич.
• php-runtime/runtime ^[29] — Компонент Runtime отделяет логику загрузки приложения от глобального состояния, и таким образом позволяет запускать приложение в любых окружениях без изменений, например, на PHP-FPM, ReactPHP, Swoole и т.д.
  Изначально это был компонент для Symfony, но получился настолько хорош, что авторы выделили его в отдельную организацию на Гитхабе.
• rindow/rindow-neuralnetworks ^[30] — Фреймворк для обучения нейронных сетей по мотивам Python Keras ^[31]. Согласно документации ^[32] поддержка GPU пока доступна в экспериментальном режиме и только под Windows.
• nunomaduro/termwind ^[33] — Библиотека для форматирования вывода консольных программ с синтаксисом в стиле Tailwind CSS. PHP 8+
• termage/termage ^[34] — Еще одна похожая библиотека для форматирования вывода в консоль.
• piko-framework/router ^[35] — PHP-разработчики никогда не писали роутеры /s и вот один на базе сжатого префиксного дерева ^[36]. Если верить бенчмаркам, то быстрее роутера Symfony.
• unitpay/shamir ^[37] — Реализация схемы разделения секрета Шамира (Shamir's Secret Sharing). Прислал AlexGx ^[38].
• icanhazstring/random-issue-picker ^[39] — Если хотите поучаствовать в Hacktoberfest, но не знаете с чего начать, то вот инструмент, который выберет случайную issue на гитхабе или гитлабе.

Symfony

• Неделя Symfony #771 (4-10 октября 2021) ^[40]

Laravel

• sajya/server ^[41] — JSON-RPC 2.0 API сервер для Laravel.
• Разделение кода и текста: первая рабочая версия ^[42]
• Ресурсы для API в Laravel ^[43]
• Laravel Worldwide Meetup #10: Немного про AWS Lambda ^[44], и про фреймворк для тестов Pest ^[45].
• Конвертирование тестов на чистом PHPUnit в Pest ^[46]
• Пишем онлайн-магазин на Laravel ^[47] — Серия стримов.

Статьи

• The Road to PHP: Static Analysis ^[48] — Рассылка в 10 дней от Brent Roose про статический анализ.
• Шпаргалка по встроенным исключениям в PHP ^[49].
• Процедуральное искусство (generative art) на PHP ^[50] — Автор рассказывает, как можно генерировать картинки от простых аватарок до пиксельных городов:

  

• Игра на FFI: quasilyte/kphp-game ^[51]
  Ребятки из KPHP реализовали экспериментальную поддержку FFI, а в качестве демо возможностей сделали на нем небольшую игру.

  Что примечательно, KPHP-FFI совместим с FFI из традиционного PHP, то есть игру можно запустить и на обычном PHP 7.4+.

  Что-то подобное показывал SerafimArts ^[52] на своих стримах про PHP + Vulcan ^[53].

  Подробнее про FFI можно почитать тут ^[54].

Аудио/Видео

• PHP-программист: публичное собеседование [Хекслет] ^[55]

Подписывайтесь на Telegram-канал PHP Digest ^[56].

Этот дайджест подготовлен совместно с Insolita ^[2]. Если понравился выпуск дайджеста, плюсаните пост, пожалуйста.

Кстати, Юля опубликовала заметку про выборку дней рождения в Postgres ^[57].

Заметили ошибку или опечатку? Сообщите в личку хабра ^[58] или телеграм ^[59].

Прислать ссылку можно через форму ^[60] или просто написав мне в телеграм ^[59].
Поиск ссылок по всем дайджестам ^[61]
← Предыдущий выпуск: PHP-Дайджест № 212 ^[62]