php - 没有 Suhosin 的 php 5.4 安全吗？

Question

我目前正在开发一个最终会在商业上可用的 PHP CMF，我想使用特征。然而问题在于，trait 是 PHP 5.4 的特性，而且很明显流行的 Suhosin 安全补丁与 PHP 5.4 不兼容。

所以我的问题是:在没有 Suhosin 安全补丁的情况下运行 PHP 网站是否安全？如果不是，我会给自己和其他使用我的 CMF 的人留下哪些漏洞？

注意:我不关心共享主机。预计任何使用我的 CMF 的人都可以对其 Web 服务器进行管理控制。

Answer 1

Suhosin 是一个 PHP 加固补丁。它没有修补任何明显的安全漏洞——它只是让 PHP 脚本中的一些漏洞更难被利用。

Suhosin 所做的一些更改最终被整合到 PHP 中。例如，PHP 5.3.4 不再需要 Suhosin 针对输入中空字节的多层保护，这使得文件名中的空字节总是抛出错误(而不是在空字节处静默截断文件名)。

在没有 Suhosin 参与的情况下，PHP 5.4 通常被认为是相当安全的。展望 future ，只要您的应用程序支持它，您最好使用较新的 (5.4+) 版本的 PHP，而不是带有 Suhosin 补丁的旧版本。