OPcache selitettynä: PHP:n tavukoodivälimuisti

Lyhyesti: OPcache on PHP:n sisäänrakennettu tavukoodivälimuisti. Käsikirjan mukaan se tallentaa esikäännettyä tavukoodia jaettuun muistiin, jolloin PHP:n ei tarvitse ladata ja kääntää komentosarjoja uudelleen jokaisella pyynnöllä. Se kuuluu toimitukseen versiosta PHP 5.5.0 lähtien. OPcache nopeuttaa PHP:tä, mutta ei korvaa päivitystä: PHP-korjauksen jälkeen kaikki PHP-prosessit on käynnistettävä uudelleen, välimuistin tyhjennys ei riitä.

Mitä OPcache tarkalleen tekee?

Jokaisella pyynnöllä PHP:n on luettava komentosarja, pilkottava se ja käännettävä opcode-käskyiksi eli Zend Enginen virtuaalikoneen komennoiksi. Sadoista tiedostoista koostuvassa CMS-järjestelmässä se on paljon työtä, joka toistuu jatkuvasti.

OPcache tallentaa tämän käännöksen tuloksen jaettuun muistiin (shared memory). Kaikki PHP-FPM-palvelun worker-prosessit tai kaikki mod_php:tä käyttävät Apache-prosessit käyttävät sitä. Jos tiedosto ei muutu, sen tavukoodia käytetään suoraan uudelleen.

OPcache ladataan Zend-laajennuksena, ei tavallisena laajennuksena:

; Linux (polku paketista riippuen)
zend_extension=opcache.so
; Windows
; zend_extension=php_opcache.dll

Käsikirjan mukaan OPcache tulee ladata ennen Xdebugia, jos molemmat ovat aktiivisia.

On tärkeää tietää, kenelle jaettu muisti kuuluu. PHP-FPM:ssä master-prosessi luo sen, ja tämän palvelun kaikkien poolien kaikki worker-prosessit käyttävät sitä. mod_php:ssä se kuuluu Apachen pääprosessille. Palvelun uudelleenkäynnistys tyhjentää siksi välimuistin kokonaan, mutta yksittäinen uusi worker ei. Komentorivillä ei ole kutsujen yli ulottuvaa jaettua muistia, koska jokainen kutsu on oma prosessinsa; siellä OPcache on oletuksena pois päältä.

Päättäjälle riittää nyrkkisääntö: OPcache on tuotantopalvelimilla lähes aina järkevä, mutta se vaatii selkeän toimintatavan käyttöönotoille ja päivityksille.

Mitkä OPcache-asetukset ovat tärkeitä?

Seuraavat arvot ovat PHP-käsikirjan konfiguraatiosivulta. Sarake ”Muutettavissa” näyttää, missä asetuksen saa asettaa: INI_SYSTEM vain php.ini-tiedostossa tai palvelinkonfiguraatiossa, INI_ALL missä tahansa.

Tyypillinen tuotantokonfiguraatio voisi näyttää tältä. Tarkistakaa arvot ensin omalla sovelluksellanne:

opcache.enable=1
opcache.memory_consumption=256
opcache.interned_strings_buffer=16
opcache.max_accelerated_files=20000
opcache.validate_timestamps=1
opcache.revalidate_freq=60
opcache.restrict_api=/var/www/admin-tools

Jos asettaa opcache.validate_timestamps=0, saa hieman lisää suorituskykyä. Silloin OPcache ei kuitenkaan enää huomaa muuttuneita tiedostoja lainkaan, ja jokainen käyttöönotto vaatii välimuistin nollauksen tai uudelleenkäynnistyksen.

Välimuistin tarkkailu ja kohdennettu tyhjennys

OPcachessa on omat funktionsa, muun muassa opcache_get_status(), opcache_get_configuration(), opcache_invalidate() ja opcache_reset(). Lyhyt, vain lukeva katsaus täyttöasteeseen:

<?php
$status = opcache_get_status(false);
if ($status === false) {
    exit("OPcache ist nicht aktiv.\n");
}
printf("Gecachte Skripte: %d\n", $status['opcache_statistics']['num_cached_scripts']);
printf("Freier Speicher: %.1f MB\n", $status['memory_usage']['free_memory'] / 1048576);

Usean verkkosivuston palvelimilla ei pidä sallia, että jokainen sovellus voi tyhjentää tai lukea kaikkien muiden välimuistin. Tähän on tarkoitettu opcache.restrict_api: vain annetun polun alla olevat komentosarjat saavat kutsua API-funktioita.

JIT: OPcachen konekoodikääntäjä

PHP 8.0:sta lähtien OPcachessa on JIT-kääntäjä, joka kääntää opcodet konekoodiksi. JIT-RFC:n mukaan se on lähes itsenäinen osa OPcachea ja tallentaa tuottamansa koodin jaetun muistin omalle alueelleen. Sitä ohjataan asetuksilla opcache.jit ja opcache.jit_buffer_size. Versiosta PHP 8.4.0 lähtien opcache.jit on oletuksena disable. Milloin JIT kannattaa, selittää artikkeli JIT ja suorituskyky PHP 8:ssa.

OPcache ja tietoturva: mikä pätee PHP2Shellin jälkeen

OPcache ei ole tietoturvatyökalu, mutta sillä on vaikutuksia tietoturvaan. Kolme asiaa on PHP2Shellin jälkeen tärkeitä:

1. Välimuistin nollaus ei ole päivitys. opcache_reset() tyhjentää vain välimuistissa olevat komentosarjat. Tulkki, jossa ovat haavoittuvuudet CVE-2026-109618 ja CVE-2026-109619, pysyy muistissa, kunnes kaikki prosessit on käynnistetty uudelleen. Miten se tehdään, kerrotaan sivulla PHP-FPM ja kaikkien worker-prosessien uudelleenkäynnistys.
2. Lisätty koodi voi elää välimuistissa edelleen. Jos tiedostoa on manipuloitu ja se on myöhemmin korvattu, vanha versio voi aikaleimatarkistuksen ollessa pois päältä jatkaa suorittamista. Puhdistuksen jälkeen uudelleenkäynnistys kuuluu siksi asiaan.
3. Jaettu muisti vaatii erottelua. Usean asiakkaan palvelimilla auttavat kullekin verkkosivustolle omat PHP-FPM-poolit sekä opcache.validate_permission ja opcache.restrict_api. Hakemisto asetukselle opcache.file_cache saa olla kirjoitettavissa vain PHP-käyttäjälle.

Miten PHP SOS auttaa konkreettisesti?

• Konfiguraation tarkistus: Luemme aktiivisen OPcache-konfiguraation ajotavoittain ja sovitamme sen sovellukseenne.
• Käyttöönottojen turvaaminen: Otamme käyttöön kiinteän toimintatavan välimuistin nollaukselle ja uudelleenkäynnistykselle, jotta vanha koodiversio ei jää käyntiin.
• Asiakkaiden erottelu: Palvelimen koventamisen puitteissa asetamme erilliset poolit, restrict_api-asetuksen ja sopivat oikeudet.
• Tarkistus päivitysten jälkeen: Osoitamme prosessien käynnistysaikojen avulla, että päivitetty tulkki on todella aktiivinen.

Usein kysytyt kysymykset

Lähteet

• PHP-käsikirja: OPcache
• PHP-käsikirja: OPcachen konfiguraatio
• PHP-käsikirja: OPcachen asennus
• PHP RFC: JIT