PHP 8.0–8.5: tärkeimmät uudet ominaisuudet

Lyhyesti: PHP 8.0 (marraskuu 2020) toi nimetyt argumentit, attribuutit, unionityypit, match-lausekkeen, nullsafe-operaattorin ja JIT-kääntäjän. Sen jälkeen on tullut vuosittain: 8.1 enumeineen ja fibereineen, 8.2 readonly-luokkineen, 8.3 tyypitettyine luokkavakioineen, 8.4 property hookeineen ja 8.5 pipe-operaattoreineen ja URI-laajennuksineen. Jokainen versio myös poistaa vanhaa käytöstä. Päivityksessä testit ovat siksi tärkeitä, ja tietoturvan kannalta ratkaisevaa on käyttää tuettua haaraa ajan tasalla olevalla korjaustasolla.

PHP 8:n uudet ominaisuudet yleiskatsauksena

Taulukko tiivistää php.netin julkaisusivujen keskeiset kohdat. Ensijulkaisupäivät php.netin mukaan.

PHP 8.0 ja 8.1: iso askel

PHP 8.0 teki kielestä selvästi tiukemman ja ilmaisuvoimaisemman. Julkaisusivun mukaan sisäiset funktiot heittävät nyt johdonmukaisesti TypeError- tai ValueError-virheen pelkkien varoitusten sijaan. Lukujen ja merkkijonojen vertailut noudattavat siistimpiä sääntöjä.

<?php
// PHP 8.0: match vertaa tiukasti eikä tarvitse break-käskyä
$status = 404;
echo match (true) {
    $status >= 500 => 'Serverfehler',
    $status >= 400 => 'Anfragefehler',
    default        => 'in Ordnung',
};

// PHP 8.0: nullsafe-operaattori
$land = $bestellung?->kunde?->adresse?->land;

PHP 8.1 toi enumit eli luettelotyypit kiinteillä arvoilla sekä readonly-ominaisuudet, jotka voi asettaa vain kerran:

<?php
enum Rolle: string {
    case Leser = 'leser';
    case Redakteur = 'redakteur';
    case Admin = 'admin';
}

final class Benutzer {
    public function __construct(
        public readonly string $name,
        public readonly Rolle $rolle,
    ) {}
}

$b = new Benutzer('Erika', Rolle::from('redakteur'));

Rolle::from() heittää virheen tuntemattomista arvoista. Se estää sen, että mielivaltaiset lomakkeiden merkkijonot pääsevät rooliksi. Jos virheen sijaan tarvitsee tyhjän arvon, käyttää Rolle::tryFrom()-funktiota, joka palauttaa tuntemattomilla arvoilla null.

Versiossa 8.1 uutta ovat myös fiberit, rinnakkaisten kulkujen perusta, jonka päälle asynkronisen käsittelyn kirjastot rakentuvat. Tavallisessa verkkosivustokäytössä siitä huomaa vähän, mutta moderneissa kehyksissä ja jonoissa kyllä.

PHP 8.2 ja 8.3: siivous ja varmistus

PHP 8.2 poisti dynaamiset ominaisuudet käytöstä. Joka sijoittaa oliolle ilmoittamattoman ominaisuuden, saa huomautuksen; #[\AllowDynamicProperties]-attribuutilla sen voi sallia yksittäisille luokille. Vanhemmat lisäosat tuottavat siksi usein paljon ilmoituksia lokiin.

Tietoturvan kannalta kiinnostavia ovat uusi Random-laajennus, jonka oletussatunnaistaja käyttää julkaisusivun mukaan kryptografisesti turvallista satunnaislukugeneraattoria, sekä attribuutti #[\SensitiveParameter], joka piilottaa arvot, kuten salasanat, pinojäljistä. Lisää turvallisista satunnaisarvoista artikkelissa Turvalliset satunnaisluvut ja tokenit PHP:ssä.

PHP 8.3 lisäsi tyypitetyt luokkavakiot, attribuutin #[\Override] kirjoitusvirheitä vastaan metodeja ylikirjoitettaessa sekä json_validate()-funktion, joka tarkistaa JSON-datan purkamatta sitä kokonaan.

PHP 8.4 ja 8.5: modernit kielen välineet

PHP 8.4 toi property hookit eli logiikan suoraan ominaisuuksiin, sekä asymmetrisen näkyvyyden, kuten public private(set). Mukana tulivat myös uusi DOM-API HTML5-tuella sekä funktiot kuten array_find(), array_any() ja array_all(). Julkaisusivun mukaan laajennukset IMAP, OCI8, PDO_OCI ja pspell siirrettiin ytimestä PECL:iin. Sovellukset, jotka käyttävät esimerkiksi IMAP:ia, tarvitsevat silloin erillisen paketin.

PHP 8.5 toi pipe-operaattorin, joka ketjuttaa kutsut vasemmalta oikealle:

<?php
$slug = '  Neue Produkte 2026  '
    |> trim(...)
    |> strtolower(...)
    |> (fn(string $s): string => str_replace(' ', '-', $s));
// Tulos: "neue-produkte-2026"

Uutta on myös URI-laajennus, joka jäsentää osoitteet RFC 3986:n ja WHATWG-URL-standardin mukaan. Se on tietoturvan kannalta olennainen, koska epäyhtenäisesti jäsennetyt URL:t ovat tunnettu syy ohitetuille tarkistuksille. Backtick-operaattori shell_exec()-funktion lyhytmuotona on poistumassa käytöstä, ja asetus disable_classes on poistettu. Joka käytti sitä, hänen pitää mukauttaa koventamisensa.

Uudet ominaisuudet, päivitykset ja PHP2Shell

Uudet kielen ominaisuudet eivät sulje tulkin aukkoja. PHP2Shelliä vastaan auttaa vain kyseisen haaran ajan tasalla oleva korjaustaso: 8.5.12, 8.4.27, 8.3.36 tai 8.2.35. PHP 8.1:lle ja 8.0:lle ei ole enää virallisia päivityksiä. Joka jää niihin kiinni, joutuu päivittämään, ja siinä uusista ominaisuuksista on vähän apua, yhteensopivuusrikoista sitäkin enemmän.

Turvallinen päivityspolku viidessä vaiheessa:

1. Määritelkää kohdeversio valmistajan järjestelmävaatimusten ja julkaisusyklin mukaan.
2. Saattakaa Composer-riippuvuudet ja lisäosat yhteensopiville tasoille.
3. Tarkistakaa koodi kohdeversiota vasten staattisella analyysillä ja testeillä.
4. Kokeilkaa testiympäristössä tuotantodatan kopiolla ja arvioikaa lokit poistumassa olevien ominaisuuksien varalta.
5. Siirtykää uuteen, käynnistäkää kaikki PHP-prosessit uudelleen ja dokumentoikaa tila.

Taustaa tyypeistä antaa PHP:n tyyppijärjestelmä.

Miten PHP SOS auttaa konkreettisesti?

• Yhteensopivuuden tarkistus: Analysoimme koodinne ja laajennuksenne kohdeversion yhteensopivuusrikkojen varalta.
• Päivityksen toteutus: Migraatiolla tuettuun PHP-versioon nostamme sovellukset testatusti.
• Koventamisen mukautus: Korvaamme poistetut asetukset, kuten disable_classes, tehokkailla vaihtoehdoilla.
• Korjaustason ylläpito: Päivityksen jälkeen pidämme haaran ajan tasalla ja osoitamme jokaisen uudelleenkäynnistyksen.

Usein kysytyt kysymykset

Lähteet

• php.net: PHP 8.0 -julkaisu
• php.net: PHP 8.4 -julkaisu
• php.net: PHP 8.5 -julkaisu
• PHP 8:n muutosloki
• php.net: tuetut versiot