php - suhosin 补丁或扩展和 Zend 优化器

Question

我一直想知道 Suhosin Patch 和 Extension 之间的区别？
例如，我应该使用 PHP 5.2.17 和 Xcache 1.3.1 和 Zend Optimizer 3.3.0.a 安装其中的哪一个？
应该是 Suhosin Extension 0.9.32.1 吗？
在我的情况下，PHP 5.3.4/5.3.3 的补丁版本是特定于 PHP 版本的 Suhosin Patch 0.9.10 和 PHP 5.2.17 的 Suhosin Patch 0.9.7 吗？

我也无法从安全角度理解 Patch 和 Extension 之间的明显区别，它们之间有什么区别？

Answer 1

区别很简单。一个(扩展)作为普通扩展运行，因此它保留了与其他扩展的兼容性。另一个(补丁)没有，所以它可能会破坏其他 3pd 扩展。

现在，需要考虑的一件事是，该补丁甚至没有针对最新版本发布(最新补丁版本是 5.3.4，因此您不能使用 5.3.5 稳定版)。现在，您可以安装旧版本的 PHP 以使用该补丁，但这会使您暴露在最新版本中核心关闭的漏洞中。恕我直言，哪个不值得。

现在，我想绝对清楚地说明一件事。 Suhosin(以及其他扩展/补丁和诸如 mod_security 之类的东西)实际上并不能保护您的代码。让我再说一遍，因为它很重要:它不保护您的代码 .它的作用是关闭一些常用的攻击媒介，并禁用一些经常被滥用的内部功能。但是您的代码中仍然绝对有可能存在漏洞。

因此，虽然它可能有助于“支持”坏代码，但它不会对好的代码产生任何影响。如果您花费时间和精力保护您的代码，补丁和扩展对于所有实际目的都是无用的。但从某种意义上说，它就像一个防火墙，只要它不会过多地妨碍您，每一层都是有用的(特别是因为编写 100% 安全的代码实际上是不可能的)。