OPcache vysvětlena: bytecode cache v PHP

Stručně: OPcache je vestavěná bytecode cache PHP. Podle příručky ukládá předkompilovaný bytecode do sdílené paměti, takže PHP nemusí skripty při každém požadavku znovu načítat a překládat. Je součástí dodávky od PHP 5.5.0. OPcache PHP zrychluje, ale nenahrazuje aktualizaci: po záplatě PHP je nutné restartovat všechny procesy PHP, nestačí vyprázdnit cache.

Co přesně OPcache dělá?

Při každém požadavku musí PHP skript přečíst, rozložit a přeložit do opcodů, tedy do příkazů pro virtuální stroj Zend Engine. U CMS se stovkami souborů je to hodně práce, která se neustále opakuje.

OPcache ukládá výsledek tohoto překladu do sdílené paměti (shared memory). Přistupují k ní všichni workeři služby PHP-FPM nebo všechny procesy Apache s mod_php. Pokud se soubor nezmění, jeho bytecode se použije přímo.

OPcache se načítá jako rozšíření Zend, nikoli jako běžné rozšíření:

; Linux (cesta podle balíčku)
zend_extension=opcache.so
; Windows
; zend_extension=php_opcache.dll

Podle příručky se má OPcache načítat před Xdebugem, pokud jsou aktivní oba.

Důležité je, komu sdílená paměť patří. U PHP-FPM ji vytváří hlavní proces (master) a využívají ji všichni workeři všech poolů této služby. U mod_php patří k hlavnímu procesu Apache. Restart služby proto cache vyprázdní úplně, jeden nový worker však ne. V příkazové řádce neexistuje sdílená paměť napříč voláními, protože každé volání je samostatný proces; tam je OPcache standardně vypnuta.

Pro rozhodovatele stačí jednoduché pravidlo: OPcache je na produkčních serverech téměř vždy užitečná, vyžaduje ale jasný postup pro nasazování a aktualizace.

Která nastavení OPcache jsou důležitá?

Následující hodnoty pocházejí ze stránky o konfiguraci v příručce PHP. Sloupec „Měnitelné“ ukazuje, kde lze nastavení provést: INI_SYSTEM jen v php.ini nebo v konfiguraci serveru, INI_ALL všude.

Typická produkční konfigurace by mohla vypadat takto. Hodnoty předem ověřte se svou aplikací:

opcache.enable=1
opcache.memory_consumption=256
opcache.interned_strings_buffer=16
opcache.max_accelerated_files=20000
opcache.validate_timestamps=1
opcache.revalidate_freq=60
opcache.restrict_api=/var/www/admin-tools

Kdo nastaví opcache.validate_timestamps=0, získá trochu výkonu. OPcache pak ale změněné soubory už vůbec nepozná a každé nasazení vyžaduje reset cache nebo restart.

Sledování cache a cílené vyprazdňování

OPcache má vlastní funkce, mimo jiné opcache_get_status(), opcache_get_configuration(), opcache_invalidate() a opcache_reset(). Krátký pohled jen pro čtení na naplnění:

<?php
$status = opcache_get_status(false);
if ($status === false) {
    exit("OPcache ist nicht aktiv.\n");
}
printf("Gecachte Skripte: %d\n", $status['opcache_statistics']['num_cached_scripts']);
printf("Freier Speicher: %.1f MB\n", $status['memory_usage']['free_memory'] / 1048576);

Na serverech s více weby by neměla mít každá aplikace možnost vyprazdňovat nebo číst cache všech ostatních. K tomu slouží opcache.restrict_api: funkce API smějí volat jen skripty pod zadanou cestou.

JIT: kompilátor strojového kódu v OPcache

Od PHP 8.0 obsahuje OPcache kompilátor JIT, který překládá opcody na strojový kód. Podle RFC k JIT je téměř samostatnou součástí OPcache a vytvořený kód ukládá do vlastní oblasti sdílené paměti. Řídí se pomocí opcache.jit a opcache.jit_buffer_size. Od PHP 8.4.0 je opcache.jit standardně nastaveno na disable. Kdy se JIT vyplatí, vysvětluje článek JIT a výkon v PHP 8.

OPcache a bezpečnost: co platí po PHP2Shell

OPcache není bezpečnostní nástroj, má ale důsledky pro bezpečnost. Po PHP2Shell jsou důležité tři body:

1. Reset cache není aktualizace. opcache_reset() vyprázdní jen skripty v cache. Interpret se zranitelnostmi CVE-2026-109618 a CVE-2026-109619 zůstává v paměti, dokud nejsou restartovány všechny procesy. Jak na to, popisuje článek Restart PHP-FPM a všech workerů.
2. Vložený kód může v cache přežít. Pokud byl soubor zmanipulován a později nahrazen, může se při vypnuté kontrole časových razítek dál provádět stará verze. Po vyčištění proto patří k postupu restart.
3. Sdílená paměť vyžaduje oddělení. Na serverech s více zákazníky pomáhají samostatné pooly PHP-FPM pro každý web a také opcache.validate_permission a opcache.restrict_api. Adresář pro opcache.file_cache smí být zapisovatelný jen pro uživatele PHP.

Jak konkrétně pomáhá PHP SOS?

• Zkontrolovat konfiguraci: Načteme aktivní konfiguraci OPcache pro každý provozní režim a porovnáme ji s vaší aplikací.
• Zabezpečit nasazování: Zavedeme pevný postup pro reset cache a restart, aby nepokračovala žádná stará verze kódu.
• Oddělit klienty: V rámci zpevnění serveru nastavíme oddělené pooly, restrict_api a vhodná oprávnění.
• Kontrolovat po aktualizacích: Podle časů spuštění procesů doložíme, že aktualizovaný interpret skutečně běží.

Časté dotazy

Zdroje

• Příručka PHP: OPcache
• Příručka PHP: Konfigurace OPcache
• Příručka PHP: Instalace OPcache
• PHP RFC: JIT