php8(php8新特性)

编程之家2026-07-011166次浏览

老铁们，大家好，相信还有很多朋友对于php8和php8新特性的相关问题不太懂，没关系，今天就由我来为大家分享分享php8以及php8新特性的问题，文章篇幅可能偏长，希望可以帮助到大家，下面一起来看看吧！

php7和php8的区别

PHP 8是 PHP 7的重大升级，在性能、类型系统、语法和错误处理等方面均有显著改进。以下是主要区别：

性能优化：

JIT编译器：PHP 8引入了即时（JIT）编译器，它可以在运行时将 PHP代码编译为本机代码，从而提高性能。

预加载：PHP 8允许开发人员预加载经常使用的函数和类，以减少后续调用时的开销。

协程：PHP 8增加了对协程的支持，这是一种允许并发执行的轻量级线程。

类型系统改进：

联合类型：PHP 8引入了联合类型，允许变量同时存储多种类型的值。

枚举：PHP 8引入了枚举类型，允许开发人员创建一组固定的值。

null安全：PHP 8引入了 null安全性，允许开发人员更轻松地处理 null值。

语法改进：

属性：PHP 8引入了对类属性的支持，这是一种定义类变量的新方法。

构造器属性：PHP 8允许开发人员在构造器中直接初始化类属性。

可变函数参数：PHP 8增加了对可变函数参数的支持，允许函数接受可变数量的参数。

其他改进：

错误处理改进：PHP 8改善了错误处理，包括引入新的错误常量和更一致的错误消息。

网络改进：PHP 8引入了对 HTTP/2和 WebSocket的原生支持。

异步操作：PHP 8增加了对异步操作的支持，允许开发人员在不阻塞主线程的情况下执行任务。

总的来说，PHP 8是 PHP 7的一个重大升级，它带来了性能优化、类型系统改进、语法改进和许多其他增强功能。对于寻找更强大、更高效的 PHP版本的开发人员来说，PHP 8是一个不错的选择。

php的发展史

PHP原始为Personal Home Page的缩写，已经正式更名为"PHP: Hypertext Preprocessor"。注意不是“Hypertext Preprocessor”的缩写，这种将名称放到定义中的写法被称作递归缩写。PHP于1994年由Rasmus Lerdorf创建，刚刚开始是Rasmus Lerdorf为了要维护个人网页而制作的一个简单的用Perl语言编写的程序。这些工具程序用来显示 Rasmus Lerdorf的个人履历，以及统计网页流量。后来又用C语言重新编写，包括可以访问数据库。他将这些程序和一些表单直译器整合起来，称为 PHP/FI。PHP/FI可以和数据库连接，产生简单的动态网页程序。

在1995年以Personal Home Page Tools(PHP Tools)开始对外发表第一个版本，Lerdorf写了一些介绍此程序的文档。并且发布了PHP1.0！在这的版本中，提供了访客留言本、访客计数器等简单的功能。以后越来越多的网站使用了PHP，并且强烈要求增加一些特性。比如循环语句和数组变量等等；在新的成员加入开发行列之后，Rasmus Lerdorf在1995年6月8日将 PHP/FI公开发布，希望可以透过社群来加速程序开发与寻找错误。这个发布的版本命名为 PHP 2，已经有 PHP的一些雏型，像是类似 Perl的变量命名方式、表单处理功能、以及嵌入到 HTML中执行的能力。程序语法上也类似 Perl，有较多的限制，不过更简单、更有弹性。PHP/FI加入了对MySQL的支持，从此建立了PHP在动态网页开发上的地位。到了1996年底，有15000个网站使用 PHP/FI。

ISAPI筛选器

在1997年，任职于 Technion IIT公司的两个以色列程序设计师：Zeev Surask

i和 Andi Gutmans，重写了 PHP的剖析器，成为 PHP 3的基础。而 PHP也在这个时候改称为PHP：Hypertext Preprocessor.[5]。经过几个月测试，开发团队在1997年11月发布了 PHP/FI 2。随后就开始 PHP 3的开放测试，最后在1998年6月正式发布 PHP 3。Zeev Suraski和 Andi Gutmans在 PHP 3发布后开始改写PHP的核心，这个在1999年发布的剖析器称为 Zend Engine[7]，他们也在以色列的 Ramat Gan成立了 Zend Technologies来管理 PHP的开发。

在2000年5月22日，以Zend Engine 1.0为基础的PHP 4正式发布，2004年7月13日则发布了PHP 5，PHP 5则使用了第二代的Zend Engine[5]。PHP包含了许多新特色，像是强化的面向对象功能、引入PDO（PHP Data Objects，一个存取数据库的延伸函数库）、以及许多效能上的增强。PHP 4已经不会继续

PHP

更新，以鼓励用户转移到PHP 5。

2008年PHP 5成为了PHP唯一的有在开发的PHP版本。将来的PHP 5.3将会加入Late static binding和一些其他的功能强化。PHP 6的开发也正在进行中，主要的改进有移除register_globals、magic quotes和 Safe mode的功能。

PHP最新稳定版本：5.3.21(2013.1.17)

PHP最新发布版本：5.5.1(2013.7.18）修复了20个bug及其一些优化。

2013年6月20日，PHP开发团队自豪地宣布立即推出PHP 5.5.0。此版本包含了大量的新功能和bug修复。需要开发者特别注意的一点是不再支持 Windows XP和 2003系统。

php代码注释安全吗

php安全篇值过滤用户输入的人参数

规则 1：绝不要信任外部数据或输入

关于Web应用程序安全性，必须认识到的第一件事是不应该信任外部数据。外部数据(outside data)包括不是由程序员在PHP代码中直接输入的任何数据。在采取措施确保安全之前，来自任何其他来源(比如 GET变量、表单 POST、数据库、配置文件、会话变量或 cookie)的任何数据都是不可信任的。

例如，下面的数据元素可以被认为是安全的，因为它们是在PHP中设置的。

复制代码代码如下:

<?php

$myUsername='tmyer';

$arrayUsers= array('tmyer','tom','tommy');define(”GREETING”,'hello there'.$myUsername);?>

但是，下面的数据元素都是有瑕疵的。

清单 2.不安全、有瑕疵的代码

复制代码代码如下:

<?php

$myUsername=$_POST['username'];//tainted!

$arrayUsers= array($myUsername,'tom','tommy');//tainted!

define(”GREETING”,'hello there'.$myUsername);//tainted!

为什么第一个变量$myUsername是有瑕疵的？因为它直接来自表单 POST。用户可以在这个输入域中输入任何字符串，包括用来清除文件或运行以前上传的文件的恶意命令。您可能会问，“难道不能使用只接受字母 A-Z的客户端（Javascrīpt）表单检验脚本来避免这种危险吗？”是的，这总是一个有好处的步骤，但是正如在后面会看到的，任何人都可以将任何表单下载到自己的机器上，修改它，然后重新提交他们需要的任何内容。

解决方案很简单：必须对$_POST['username']运行清理代码。如果不这么做，那么在使用$myUsername的任何其他时候（比如在数组或常量中），就可能污染这些对象。

对用户输入进行清理的一个简单方法是，使用正则表达式来处理它。在这个示例中，只希望接受字母。将字符串限制为特定数量的字符，或者要求所有字母都是小写的，这可能也是个好主意。

清单 3.使用户输入变得安全

复制代码代码如下:

<?php

$myUsername= cleanInput($_POST['username']);//clean!

$arrayUsers= array($myUsername,'tom','tommy');//clean!

define(”GREETING”,'hello there'.$myUsername);//clean!

function cleanInput($input){

$clean= strtolower($input);

$clean= preg_replace(”/[^a-z]/”,“”,$clean);$clean= substr($clean,0,12);

return$clean;

}

规则 2：禁用那些使安全性难以实施的 PHP设置已经知道了不能信任用户输入，还应该知道不应该信任机器上配置 PHP的方式。例如，要确保禁用 register_globals。如果启用了 register_globals，就可能做一些粗心的事情，比如使用$variable替换同名的 GET或 POST字符串。通过禁用这个设置，PHP强迫您在正确的名称空间中引用正确的变量。要使用来自表单 POST的变量，应该引用$_POST['variable']。这样就不会将这个特定变量误会成 cookie、会话或 GET变量。

规则 3：如果不能理解它，就不能保护它

一些开发人员使用奇怪的语法，或者将语句组织得很紧凑，形成简短但是含义模糊的代码。这种方式可能效率高，但是如果您不理解代码正在做什么，那么就无法决定如何保护它。

例如，您喜欢下面两段代码中的哪一段？

清单 4.使代码容易得到保护

复制代码代码如下:

<?php

//obfuscated code

$input=(isset($_POST['username'])?$_POST['username']:”);//unobfuscated code

$input=”;

if(isset($_POST['username'])){

$input=$_POST['username'];

}else{

$input=”;

}

在第二个比较清晰的代码段中，很容易看出$input是有瑕疵的，需要进行清理，然后才能安全地处理。

规则 4：“纵深防御”是新的法宝

本教程将用示例来说明如何保护在线表单，同时在处理表单的 PHP代码中采用必要的措施。同样，即使使用 PHP regex来确保 GET变量完全是数字的，仍然可以采取措施确保 SQL查询使用转义的用户输入。

纵深防御不只是一种好思想，它可以确保您不会陷入严重的麻烦。

既然已经讨论了基本规则，现在就来研究第一种威胁：SQL注入攻击。

防止 SQL注入攻击

在 SQL注入攻击中，用户通过操纵表单或 GET查询字符串，将信息添加到数据库查询中。例如，假设有一个简单的登录数据库。这个数据库中的每个记录都有一个用户名字段和一个密码字段。构建一个登录表单，让用户能够登录。

清单 5.简单的登录表单

复制代码代码如下:

<html>

<head>

<title>Login</title>

</head>

<body>

<p><label for='user'>Username</label>

</p>

<p><label for='pw'>Password</label>

</p>

</form>

</body>

</html>

这个表单接受用户输入的用户名和密码，并将用户输入提交给名为 verify.php的文件。在这个文件中，PHP处理来自登录表单的数据，如下所示：

清单 6.不安全的 PHP表单处理代码

复制代码代码如下:

<?php

$okay= 0;

$username=$_POST['user'];

$pw=$_POST['pw'];

$sql=“select count(*) as ctr from users where username='”.$username.”' and password='”.$pw.”' limit 1″;$result= mysql_query($sql);

while($data= mysql_fetch_object($result)){if($data->ctr== 1){

//they're okay to enter the application!

$okay= 1;

}

if($okay){

$_SESSION['loginokay']= true;

header(”index.php”);

}else{

header(”login.php”);

}

这段代码看起来没问题，对吗？世界各地成百（甚至成千）的 PHP/MySQL站点都在使用这样的代码。它错在哪里？好，记住“不能信任用户输入”。这里没有对来自用户的任何信息进行转义，因此使应用程序容易受到攻击。具体来说，可能会出现任何类型的 SQL注入攻击。

例如，如果用户输入 foo作为用户名，输入' or'1′='1作为密码，那么实际上会将以下字符串传递给 PHP，然后将查询传递给 MySQL：

复制代码代码如下:

<?php

$sql=“select count(*) as ctr from users where username='foo' and password=” or'1′='1′ limit 1″;?>

这个查询总是返回计数值 1，因此 PHP会允许进行访问。通过在密码字符串的末尾注入某些恶意 SQL，黑客就能装扮成合法的用户。

解决这个问题的办法是，将 PHP的内置 mysql_real_escape_string()函数用作任何用户输入的包装器。这个函数对字符串中的字符进行转义，使字符串不可能传递撇号等特殊字符并让 MySQL根据特殊字符进行操作。清单 7展示了带转义处理的代码。

清单 7.安全的 PHP表单处理代码

复制代码代码如下:

<?php

$okay= 0;

$username=$_POST['user'];

$pw=$_POST['pw'];

$sql=“select count(*) as ctr from users where username='”.mysql_real_escape_string($username).”' and password='”. mysql_real_escape_string($pw).”' limit 1″;$result= mysql_query($sql);

while($data= mysql_fetch_object($result)){if($data->ctr== 1){

//they're okay to enter the application!

$okay= 1;

}

if($okay){

$_SESSION['loginokay']= true;

header(”index.php”);

}else{

header(”login.php”);

}

使用 mysql_real_escape_string()作为用户输入的包装器，就可以避免用户输入中的任何恶意 SQL注入。如果用户尝试通过 SQL注入传递畸形的密码，那么会将以下查询传递给数据库：

select count(*) as ctr from users where username='foo' and password='\' or\'1\'=\'1′ limit 1″数据库中没有任何东西与这样的密码匹配。仅仅采用一个简单的步骤，就堵住了 Web应用程序中的一个大漏洞。这里得出的经验是，总是应该对 SQL查询的用户输入进行转义。

但是，还有几个安全漏洞需要堵住。下一项是操纵 GET变量。

防止用户操纵 GET变量

在前一节中，防止了用户使用畸形的密码进行登录。如果您很聪明，应该应用您学到的方法，确保对 SQL语句的所有用户输入进行转义。

但是，用户现在已经安全地登录了。用户拥有有效的密码，并不意味着他将按照规则行事——他有很多机会能够造成损害。例如，应用程序可能允许用户查看特殊的内容。所有链接指向 template.php?pid=33或 template.php?pid=321这样的位置。URL中问号后面的部分称为查询字符串。因为查询字符串直接放在 URL中，所以也称为 GET查询字符串。

在 PHP中，如果禁用了 register_globals，那么可以用$_GET['pid']访问这个字符串。在 template.php页面中，可能会执行与清单 8相似的操作。

清单 8.示例 template.php

复制代码代码如下:

<?php

$pid=$_GET['pid'];

//we create an object of a fictional class Page$obj= new Page;

$content=$obj->fetchPage($pid);

//and now we have a bunch of PHP that displays the page?>

这里有什么错吗？首先，这里隐含地相信来自浏览器的 GET变量 pid是安全的。这会怎么样呢？大多数用户没那么聪明，无法构造出语义攻击。但是，如果他们注意到浏览器的 URL位置域中的 pid=33，就可能开始捣乱。如果他们输入另一个数字，那么可能没问题；但是如果输入别的东西，比如输入 SQL命令或某个文件的名称（比如/etc/passwd），或者搞别的恶作剧，比如输入长达 3,000个字符的数值，那么会发生什么呢？

在这种情况下，要记住基本规则，不要信任用户输入。应用程序开发人员知道 template.php接受的个人标识符（PID）应该是数字，所以可以使用 PHP的 is_numeric()函数确保不接受非数字的 PID，如下所示：

清单 9.使用 is_numeric()来限制 GET变量复制代码代码如下:

<?php

$pid=$_GET['pid'];

if(is_numeric($pid)){

//we create an object of a fictional class Page$obj= new Page;

$content=$obj->fetchPage($pid);

//and now we have a bunch of PHP that displays the page}else{

//didn't pass the is_numeric() test, do something else!

}

这个方法似乎是有效的，但是以下这些输入都能够轻松地通过 is_numeric()的检查：

100（有效）

100.1（不应该有小数位）

+0123.45e6（科学计数法——不好）

0xff33669f（十六进制——危险！危险！）那么，有安全意识的 PHP开发人员应该怎么做呢？多年的经验表明，最好的做法是使用正则表达式来确保整个 GET变量由数字组成，如下所示：

清单 10.使用正则表达式限制 GET变量

复制代码代码如下:

<?php

$pid=$_GET['pid'];

if(strlen($pid)){

if(!ereg(”^[0-9]+$”,$pid)){

//do something appropriate, like maybe logging them out or sending them back to home page}

}else{

//empty$pid, so send them back to the home page}

//we create an object of a fictional class Page, which is now//moderately protected from evil user input$obj= new Page;

$content=$obj->fetchPage($pid);

//and now we have a bunch of PHP that displays the page?>

需要做的只是使用 strlen()检查变量的长度是否非零；如果是，就使用一个全数字正则表达式来确保数据元素是有效的。如果 PID包含字母、斜线、点号或任何与十六进制相似的内容，那么这个例程捕获它并将页面从用户活动中屏蔽。如果看一下 Page类幕后的情况，就会看到有安全意识的 PHP开发人员已经对用户输入$pid进行了转义，从而保护了 fetchPage()方法，如下所示：

清单 11.对 fetchPage()方法进行转义

复制代码代码如下:

<?php

class Page{

function fetchPage($pid){

$sql=“select pid,title,desc,kw,content,status from page where pid='”.mysql_real_escape_string($pid).”'”;}

}

您可能会问，“既然已经确保 PID是数字，那么为什么还要进行转义？”因为不知道在多少不同的上下文和情况中会使用 fetchPage()方法。必须在调用这个方法的所有地方进行保护，而方法中的转义体现了纵深防御的意义。

如果用户尝试输入非常长的数值，比如长达 1000个字符，试图发起缓冲区溢出攻击，那么会发生什么呢？下一节更详细地讨论这个问题，但是目前可以添加另一个检查，确保输入的 PID具有正确的长度。您知道数据库的 pid字段的最大长度是 5位，所以可以添加下面的检查。

清单 12.使用正则表达式和长度检查来限制 GET变量复制代码代码如下:

<?php

$pid=$_GET['pid'];

if(strlen($pid)){

if(!ereg(”^[0-9]+$”,$pid)&& strlen($pid)> 5){//do something appropriate, like maybe logging them out or sending them back to home page}

} else{

//empty$pid, so send them back to the home page}

//we create an object of a fictional class Page, which is now//even more protected from evil user input$obj= new Page;

$content=$obj->fetchPage($pid);

//and now we have a bunch of PHP that displays the page?>

现在，任何人都无法在数据库应用程序中塞进一个 5,000位的数值——至少在涉及 GET字符串的地方不会有这种情况。想像一下黑客在试图突破您的应用程序而遭到挫折时咬牙切齿的样子吧！而且因为关闭了错误报告，黑客更难进行侦察。

缓冲区溢出攻击

缓冲区溢出攻击试图使 PHP应用程序中（或者更精确地说，在 Apache或底层操作系统中）的内存分配缓冲区发生溢出。请记住，您可能是使用 PHP这样的高级语言来编写 Web应用程序，但是最终还是要调用 C（在 Apache的情况下）。与大多数低级语言一样，C对于内存分配有严格的规则。

缓冲区溢出攻击向缓冲区发送大量数据，使部分数据溢出到相邻的内存缓冲区，从而破坏缓冲区或者重写逻辑。这样就能够造成拒绝服务、破坏数据或者在远程服务器上执行恶意代码。

防止缓冲区溢出攻击的惟一方法是检查所有用户输入的长度。例如，如果有一个表单元素要求输入用户的名字，那么在这个域上添加值为 40的 maxlength属性，并在后端使用 substr()进行检查。清单 13给出表单和 PHP代码的简短示例。

OK，关于php8和php8新特性的内容到此结束了，希望对大家有所帮助。

css教程网？html+csshtml提交表单？html模板下载