Почему Suhosin не является частью ядра PHP? - PullRequest
Новая
       30

Почему Suhosin не является частью ядра PHP?

13 голосов
/ 20 февраля 2009

Похоже, что Suhosin исправляет и расширяет ядро ​​PHP как средство защиты пользователей от недостатков в ядре. Также кажется, что некоторые умные люди используют эту систему. Поскольку это кажется хорошей вещью, мне любопытно, почему он не является частью ядра PHP с самого начала. Кто-нибудь знает?

Обновление: Очевидно, что некоторые дистрибутивы Linux также упаковывают PHP с Suhosin по умолчанию. Похоже, что это верно для Debian (по крайней мере, Lenny) и Arch Linux. Какие-нибудь другие дистрибутивы PHP с Suhosin по умолчанию?

Ответы [ 3 ]

16 голосов
/ 21 февраля 2009

Одним из главных парней, стоящих за Сухосином, является Стефан Эссер. Похоже, что Стефан на протяжении последних нескольких лет продолжал не соглашаться с разработчиками ядра PHP с в отношении безопасности . Он также был одним из тех, кто стоял за месяцем ошибок в PHP , которые должны были привлечь внимание к (по мнению Стефана) печальному состоянию безопасности ядра PHP.

Учитывая, что ребята из Suhosin решили пойти своим путем и работать за пределами PHP-проекта, я могу представить, что:

  • Возможно, что Suhosin не был возвращен для включения.
  • Ребята из Suhosin не смогли убедить команду PHP в ее полезности или не пытались.
  • Основная команда PHP не открыта для участия ребят из Suhosin.

Некоторые дистрибутивы Linux, такие как Debian (Etch и Lenny), Ubuntu и Arch, включают патч Suhosin в свой пакет PHP, поэтому в этих системах вы часто найдете его включенным по умолчанию. Производные от Red Hat (Red Hat Enterprise, CentOS, Fedora и т. Д.) Не включают Suhosin в свои пакеты PHP.

Примечание. У меня нет связи с разработчиками Core PHP или Suhosin, но есть разумное предположение, основанное на некоторых личностях.

1 голос
/ 20 февраля 2009

Я бы предположил, что основные причины, по которым команда php не включила Suhosin:

  • Может сломать существующий (плохо написанный) php код
  • Это может сломать (плохо написанные) расширения php (я помню, что Zend Optimizer проблематичен)
0 голосов
/ 20 февраля 2009

Интересно, они внесли свой код обратно в основной проект php?

Это обычно, как новый код интегрируется в проекты с открытым исходным кодом.

...