PHP 8.0 až 8.5: nejdůležitější novinky

Stručně: PHP 8.0 (listopad 2020) přineslo pojmenované argumenty, atributy, sjednocené typy (union types), match, operátor nullsafe a kompilátor JIT. Poté následovaly každoroční verze: 8.1 s enums a Fibers, 8.2 s třídami readonly, 8.3 s typovanými konstantami tříd, 8.4 s Property Hooks a 8.5 s operátorem pipe a rozšířením URI. Každá verze také označuje staré věci za zastaralé. Při upgradu proto záleží na testech a z hlediska bezpečnosti především na provozu podporované větve s aktuálním stavem záplat.

Novinky v PHP 8 v přehledu

Tabulka shrnuje hlavní body stránek vydání na php.net. Data prvního vydání podle php.net.

PHP 8.0 a 8.1: velký krok

PHP 8.0 udělalo jazyk znatelně přísnější a výraznější. Podle stránky vydání vyhazují interní funkce nyní důsledně TypeError nebo ValueError místo pouhých varování. Porovnávání čísel a řetězců se řídí čistšími pravidly.

<?php
// PHP 8.0: match porovnává striktně a nepotřebuje break
$status = 404;
echo match (true) {
    $status >= 500 => 'Serverfehler',
    $status >= 400 => 'Anfragefehler',
    default        => 'in Ordnung',
};

// PHP 8.0: operátor nullsafe
$land = $bestellung?->kunde?->adresse?->land;

PHP 8.1 přineslo enums, tedy výčtové typy s pevnými hodnotami, a vlastnosti readonly, které lze nastavit jen jednou:

<?php
enum Rolle: string {
    case Leser = 'leser';
    case Redakteur = 'redakteur';
    case Admin = 'admin';
}

final class Benutzer {
    public function __construct(
        public readonly string $name,
        public readonly Rolle $rolle,
    ) {}
}

$b = new Benutzer('Erika', Rolle::from('redakteur'));

Rolle::from() vyvolá chybu u neznámých hodnot. Zabrání to tomu, aby jako role proklouzly libovolné řetězce z formulářů. Kdo místo chyby potřebuje prázdnou hodnotu, použije Rolle::tryFrom(), které u neznámých hodnot vrací null.

Novinkou v 8.1 jsou také Fibers, základ pro souběžné procesy, na kterém stavějí knihovny pro asynchronní zpracování. V běžném provozu webu si jich lze sotva všimnout, v moderních frameworcích a frontách úloh však ano.

PHP 8.2 a 8.3: úklid a zabezpečení

PHP 8.2 označilo dynamické vlastnosti za zastaralé. Kdo přiřadí objektu nedeklarovanou vlastnost, dostane upozornění; pomocí #[\AllowDynamicProperties] to lze pro jednotlivé třídy povolit. Starší pluginy proto často vytvářejí mnoho hlášení v logu.

Pro bezpečnost jsou zajímavé nové rozšíření Random, jehož výchozí randomizer používá podle stránky vydání kryptograficky bezpečný generátor náhodných čísel, a atribut #[\SensitiveParameter], který skrývá hodnoty jako hesla ve stack tracích. Více o bezpečných náhodných hodnotách v článku Bezpečná náhodná čísla a tokeny v PHP.

PHP 8.3 přidalo typované konstanty tříd, atribut #[\Override] proti překlepům při přepisování metod a json_validate(), které kontroluje JSON, aniž by jej úplně dekódovalo.

PHP 8.4 a 8.5: moderní jazykové prostředky

PHP 8.4 zavedlo Property Hooks, tedy logiku přímo u vlastností, a asymetrickou viditelnost jako public private(set). K tomu přibylo nové API DOM s podporou HTML5 a funkce jako array_find(), array_any() a array_all(). Podle stránky vydání byla rozšíření IMAP, OCI8, PDO_OCI a pspell přesunuta z jádra do PECL. Aplikace, které například používají IMAP, pak potřebují samostatný balíček.

PHP 8.5 přineslo operátor pipe, který řetězí volání zleva doprava:

<?php
$slug = '  Neue Produkte 2026  '
    |> trim(...)
    |> strtolower(...)
    |> (fn(string $s): string => str_replace(' ', '-', $s));
// Výsledek: "neue-produkte-2026"

Novinkou je také rozšíření URI, které rozkládá adresy podle RFC 3986 a standardu WHATWG URL. Z hlediska bezpečnosti je to relevantní, protože nejednotně zpracovávané adresy URL jsou známou příčinou obejitých kontrol. Operátor zpětného apostrofu jako zkrácená forma shell_exec() je zastaralý, nastavení disable_classes bylo odstraněno. Kdo je používal, měl by upravit své zpevnění.

Novinky, upgrady a PHP2Shell

Nové jazykové funkce zranitelnosti v interpretu neuzavírají. Proti PHP2Shell pomáhá jen aktuální stav záplat dané větve: 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35. Pro PHP 8.1 a 8.0 už oficiální aktualizace neexistují. Kdo tam uvízl, musí upgradovat, a přitom novinky pomáhají málo, zásadní změny naopak hodně.

Bezpečný postup upgradu v pěti krocích:

1. Stanovit cílovou verzi, odpovídající systémovým požadavkům výrobce a cyklu vydávání.
2. Závislosti přes Composer a pluginy převést na kompatibilní verze.
3. Kód ověřit statickou analýzou a testy proti cílové verzi.
4. Vyzkoušet v testovacím prostředí s kopií produkčních dat, vyhodnotit logy z hlediska zastaralých funkcí.
5. Přepnout, restartovat všechny procesy PHP a zdokumentovat stav.

Souvislosti k typům nabízí článek Typový systém PHP.

Jak konkrétně pomáhá PHP SOS?

• Ověřit kompatibilitu: Analyzujeme váš kód a rozšíření z hlediska zásadních změn vůči cílové verzi.
• Provést upgrade: Prostřednictvím migrace na podporovanou verzi PHP převedeme aplikace otestovaně na vyšší verzi.
• Upravit zpevnění: Odstraněná nastavení jako disable_classes nahradíme účinnými alternativami.
• Udržovat stav záplat: Po upgradu udržujeme větev aktuální a doložíme každý restart.

Časté dotazy

Zdroje

• php.net: Vydání PHP 8.0
• php.net: Vydání PHP 8.4
• php.net: Vydání PHP 8.5
• PHP 8 ChangeLog
• php.net: Podporované verze