PHP 8.0 till 8.5: de viktigaste nyheterna

Kort sagt: PHP 8.0 (november 2020) gav namngivna argument, attribut, union-typer, match, nullsafe-operatorn och en JIT-kompilator. Därefter följde årliga versioner: 8.1 med enums och fibers, 8.2 med readonly-klasser, 8.3 med typade klasskonstanter, 8.4 med property hooks och 8.5 med pipe-operator och URI-tillägg. Varje version fasar också ut gammalt. Vid uppgradering är tester därför avgörande, och för säkerheten gäller framför allt att driva en gren med stöd och aktuell patchnivå.

PHP 8-nyheterna i översikt

Tabellen sammanfattar huvudpunkterna från releasesidorna på php.net. Datum för första utgivning enligt php.net.

PHP 8.0 och 8.1: det stora steget

PHP 8.0 gjorde språket märkbart strängare och mer uttrycksfullt. Enligt releasesidan kastar interna funktioner nu konsekvent TypeError eller ValueError i stället för att bara ge varningar. Jämförelser mellan tal och teckensträngar följer renare regler.

<?php
// PHP 8.0: match jämför strikt och behöver ingen break
$status = 404;
echo match (true) {
    $status >= 500 => 'Serverfehler',
    $status >= 400 => 'Anfragefehler',
    default        => 'in Ordnung',
};

// PHP 8.0: nullsafe-operator
$land = $bestellung?->kunde?->adresse?->land;

PHP 8.1 gav enums, alltså uppräkningstyper med fasta värden, och readonly-egenskaper som bara kan sättas en gång:

<?php
enum Rolle: string {
    case Leser = 'leser';
    case Redakteur = 'redakteur';
    case Admin = 'admin';
}

final class Benutzer {
    public function __construct(
        public readonly string $name,
        public readonly Rolle $rolle,
    ) {}
}

$b = new Benutzer('Erika', Rolle::from('redakteur'));

Rolle::from() kastar ett fel vid okända värden. Det förhindrar att godtyckliga teckensträngar från formulär slinker igenom som roll. Den som behöver ett tomt värde i stället för ett fel använder Rolle::tryFrom(), som returnerar null vid okända värden.

Nytt i 8.1 är också fibers, en grund för samtidiga förlopp som bibliotek för asynkron bearbetning bygger på. I normal webbplatsdrift märker man lite av dem, i moderna ramverk och köer däremot en hel del.

PHP 8.2 och 8.3: städa upp och säkra

PHP 8.2 fasade ut dynamiska egenskaper. Den som tilldelar ett objekt en odeklarerad egenskap får en notis; med #[\AllowDynamicProperties] kan det tillåtas för enskilda klasser. Äldre plugin ger därför ofta många meddelanden i loggen.

Intressanta för säkerheten är det nya Random-tillägget, vars standardrandomizer enligt releasesidan använder en kryptografiskt säker slumpgenerator, och attributet #[\SensitiveParameter], som döljer värden som lösenord i stacktraces. Mer om säkra slumpvärden under Säkra slumptal och token i PHP.

PHP 8.3 tillförde typade klasskonstanter, attributet #[\Override] mot stavfel vid överskrivning av metoder och json_validate(), som kontrollerar JSON utan att avkoda det fullständigt.

PHP 8.4 och 8.5: moderna språkmedel

PHP 8.4 införde property hooks, alltså logik direkt på egenskaper, och asymmetrisk synlighet som public private(set). Dessutom kom ett nytt DOM-API med HTML5-stöd och funktioner som array_find(), array_any() och array_all(). Enligt releasesidan flyttades tilläggen IMAP, OCI8, PDO_OCI och pspell från kärnan till PECL. Applikationer som till exempel använder IMAP behöver då ett separat paket.

PHP 8.5 gav pipe-operatorn, som kedjar anrop från vänster till höger:

<?php
$slug = '  Neue Produkte 2026  '
    |> trim(...)
    |> strtolower(...)
    |> (fn(string $s): string => str_replace(' ', '-', $s));
// Resultat: "neue-produkte-2026"

Nytt är också ett URI-tillägg som delar upp adresser enligt RFC 3986 och WHATWG-URL-standarden. Det är säkerhetsmässigt relevant, eftersom ojämnt tolkade URL:er är en känd orsak till kringgångna kontroller. Backtick-operatorn som kortform för shell_exec() är utfasad, inställningen disable_classes har tagits bort. Den som använde den bör anpassa sin härdning.

Nyheter, uppgraderingar och PHP2Shell

Nya språkfunktioner täpper inte till sårbarheter i tolken. Mot PHP2Shell hjälper bara den aktuella patchnivån för respektive gren: 8.5.12, 8.4.27, 8.3.36 eller 8.2.35. För PHP 8.1 och 8.0 finns inga officiella uppdateringar längre. Den som sitter fast där måste uppgradera, och då hjälper nyheterna lite, medan brotten hjälper mycket.

En säker uppgraderingsväg i fem steg:

1. Fastställ målversionen, i linje med tillverkarens systemkrav och releasecykeln.
2. Flytta beroenden via Composer och plugin till kompatibla versioner.
3. Kontrollera koden mot målversionen med statisk analys och tester.
4. Prova i en testmiljö med en kopia av produktionsdata och gå igenom loggarna efter utfasningar.
5. Ställ om, starta om alla PHP-processer och dokumentera läget.

Bakgrund om typer ger PHP:s typsystem.

Hur hjälper PHP SOS konkret?

• Kontrollera kompatibilitet: Vi analyserar er kod och era tillägg efter brott mot målversionen.
• Genomföra uppgraderingen: Med migrering till en PHP-version med support lyfter vi applikationer testat.
• Anpassa härdningen: Vi ersätter borttagna inställningar som disable_classes med verksamma alternativ.
• Hålla patchnivån: Efter uppgraderingen håller vi grenen aktuell och styrker varje omstart.

Vanliga frågor

Källor

• php.net: PHP 8.0-releasen
• php.net: PHP 8.4-releasen
• php.net: PHP 8.5-releasen
• PHP 8 ChangeLog
• php.net: versioner som stöds