OPcache razložen: predpomnilnik bajtne kode PHP

Na kratko: OPcache je vgrajeni predpomnilnik bajtne kode PHP. Po priročniku v skupni pomnilnik shrani vnaprej prevedeno bajtno kodo, tako da PHP skript ob vsaki zahtevi ni treba znova nalagati in prevajati. V dobavljenem obsegu je od PHP 5.5.0. OPcache PHP pospeši, vendar ne nadomešča posodobitve: po popravku PHP je treba znova zagnati vse procese PHP, ne samo izprazniti predpomnilnika.

Kaj točno počne OPcache?

Ob vsaki zahtevi mora PHP skripto prebrati, razčleniti in prevesti v opcode, torej v ukaze za navidezni stroj Zend Engine. Pri CMS-ju s stotinami datotek je to veliko dela, ki se nenehno ponavlja.

OPcache rezultat tega prevajanja shrani v skupni pomnilnik (shared memory). Do njega dostopajo vsi workerji storitve PHP-FPM ali vsi procesi Apache z mod_php. Če se datoteka ne spremeni, se njena bajtna koda neposredno ponovno uporabi.

OPcache se naloži kot razširitev Zend, ne kot navadna razširitev:

; Linux (pot je odvisna od paketa)
zend_extension=opcache.so
; Windows
; zend_extension=php_opcache.dll

Po priročniku naj se OPcache naloži pred Xdebug, kadar sta aktivna oba.

Pomembno je, čigav je skupni pomnilnik. Pri PHP-FPM ga ustvari glavni proces, uporabljajo pa ga vsi workerji vseh poolov te storitve. Pri mod_php pripada glavnemu procesu Apache. Ponovni zagon storitve zato predpomnilnik v celoti izprazni, en sam nov worker pa ne. Za ukazno vrstico skupnega pomnilnika med klici ni, ker je vsak klic samostojen proces; tam je OPcache privzeto izklopljen.

Za odločevalce zadošča pravilo palca: OPcache je na produkcijskih strežnikih skoraj vedno smiseln, a zahteva jasen potek namestitev in posodobitev.

Katere nastavitve OPcache štejejo?

Naslednje vrednosti izvirajo iz strani s konfiguracijo v priročniku PHP. Stolpec „Spremenljivo“ kaže, kje se nastavitev sme določiti: INI_SYSTEM samo v php.ini ali konfiguraciji strežnika, INI_ALL povsod.

Značilna produkcijska konfiguracija bi lahko izgledala takole. Vrednosti pred tem preverite z vašo aplikacijo:

opcache.enable=1
opcache.memory_consumption=256
opcache.interned_strings_buffer=16
opcache.max_accelerated_files=20000
opcache.validate_timestamps=1
opcache.revalidate_freq=60
opcache.restrict_api=/var/www/admin-tools

Kdor nastavi opcache.validate_timestamps=0, pridobi nekaj zmogljivosti. Takrat pa OPcache spremenjenih datotek sploh ne prepozna več in vsaka namestitev potrebuje ponastavitev predpomnilnika ali ponovni zagon.

Opazovanje in ciljno praznjenje predpomnilnika

OPcache prinaša lastne funkcije, med njimi opcache_get_status(), opcache_get_configuration(), opcache_invalidate() in opcache_reset(). Kratek bralni pogled na zasedenost:

<?php
$status = opcache_get_status(false);
if ($status === false) {
    exit("OPcache ist nicht aktiv.\n");
}
printf("Gecachte Skripte: %d\n", $status['opcache_statistics']['num_cached_scripts']);
printf("Freier Speicher: %.1f MB\n", $status['memory_usage']['free_memory'] / 1048576);

Na strežnikih z več spletnimi stranmi ne bi smela vsaka aplikacija moči izprazniti ali brati predpomnilnika vseh drugih. Za to je namenjen opcache.restrict_api: funkcije API smejo klicati samo skripte pod navedeno potjo.

JIT: prevajalnik strojne kode v OPcache

Od PHP 8.0 OPcache vsebuje prevajalnik JIT, ki opcode prevede v strojno kodo. Po RFC za JIT je skoraj samostojen del OPcache in ustvarjeno kodo shrani v lasten predel skupnega pomnilnika. Upravlja se ga z opcache.jit in opcache.jit_buffer_size. Od PHP 8.4.0 je opcache.jit privzeto na disable. Kdaj se JIT splača, razlaga prispevek JIT in zmogljivost v PHP 8.

OPcache in varnost: kaj velja po PHP2Shell

OPcache ni varnostno orodje, a ima posledice za varnost. Po PHP2Shell so pomembne tri točke:

1. Ponastavitev predpomnilnika ni posodobitev. opcache_reset() izprazni samo predpomnjene skripte. Interpreter z ranljivostma CVE-2026-109618 in CVE-2026-109619 ostane v pomnilniku, dokler niso vsi procesi znova zagnani. Kako, piše na strani Ponovni zagon PHP-FPM in vseh workerjev.
2. Vnesena koda lahko živi naprej v predpomnilniku. Če je bila datoteka spremenjena in pozneje zamenjana, se pri izklopljenem preverjanju časovnih žigov lahko stara različica še naprej izvaja. Po čiščenju zato sodi zraven ponovni zagon.
3. Skupni pomnilnik zahteva ločevanje. Na strežnikih z več strankami pomagajo lastni pooli PHP-FPM za vsako spletno stran ter opcache.validate_permission in opcache.restrict_api. Imenik za opcache.file_cache sme biti zapisljiv samo za uporabnika PHP.

Kako PHP SOS pomaga konkretno?

• Preverjanje konfiguracije: preberemo aktivno konfiguracijo OPcache za vsak način delovanja in jo uskladimo z vašo aplikacijo.
• Zavarovanje namestitev: vzpostavimo trden potek ponastavitve predpomnilnika in ponovnega zagona, da ne teče nobena stara različica kode.
• Ločevanje strank: v okviru utrjevanja strežnika nastavimo ločene poole, restrict_api in ustrezne pravice.
• Kontrola po posodobitvah: prek časov zagona procesov dokažemo, da posodobljeni interpreter resnično teče.

Pogosta vprašanja

Viri

• Priročnik PHP: OPcache
• Priročnik PHP: konfiguracija OPcache
• Priročnik PHP: namestitev OPcache
• PHP RFC: JIT