我可以信任一个我不熟悉的 repo 为我提供安全的 PHP 8.0 包吗？

Question

在整个互联网上，我只找到了添加ondrej/php存储库以升级到 PHP-8 的参考（在 Ubuntu 上，如果这很重要）。我不熟悉，无论是谁ondrej（对不起，也许他就像“PHP 世界中的 Linus”，但我不是资深开发人员，也不知道）并且想知道，安装 PHP 8 和那是官方存储库吗？

---

更新：原来有办法编译官方php（来自github）。

Answer 1

从ondrej/phpppa安装 php 是安全的。

我是谁？

我从 2000 年开始成为 Debian 开发人员，从 PHP 5 开始我就一直在为 Debian 打包 PHP。这意味着 Debian 和 Ubuntu 中的官方软件包要么是我的工作，要么是基于我的工作。我的 Ubuntu PPA 和 Debian DPA 中的 PHP 软件包与 Debian 中的官方软件包相匹配。基本上我是说你不能比这更接近。

Askubuntu：@oerdnj

我是 ISC 的 DNS 工程总监，自 2000 年起担任 Debian 开发人员，自 2005 年起成为 Ubuntu 成员，自 2004 年起成为 Ubuntu ?eská Republika 的创始成员。

我（共同）维护 Apache2、PHP、MariaDB、Cyrus SASL、Cyrus IMAP、Berkeley DB 和 Debian 中的所有 DNS，并且还为这些软件包 (PHP) 提供半官方 PPA。我是 Debian GNOME GTK+ 打包团队的成员。（换句话说，我看到了你们人们不会相信的东西。:-)）

我是两个 apache 模块（mod-vhost-ldap 和 mod-log-spread2）的作者，我是 Knot DNS 的共同作者，这是一个快速的权威 DNS 服务器，现在我在 BIND，最常用的 DNS 服务器上工作在网上。

我在路由、DNS、DNSSEC、Debian 打包方面拥有专业知识，还有更多要在这里列出的内容:)。

开发者正在准备一个新手包debsuryorg-archive-keyring来自动更新 PGP 密钥。

本apt-key list应打印：

pub   rsa1024 2009-01-26 [SC]
      14AA 40EC 0831 7567 56D7  F66C 4F4E A0AA E526 7A6C
uid           [ unknown] Launchpad PPA for Ond?ej Surý

推特：Ond?ej Surý

github: Ond?ej Surý

安装说明：

sudo apt install software-properties-common
sudo add-apt-repository ppa:ondrej/php
sudo apt update
sudo apt install php8.0

Answer 2

为了完整起见，我会将我的评论扩展为答案，然后让您决定。

一个PPA是个人包存档。有人从另一个来源获取源代码并将其打包，以便 Ubuntu 用户可以轻松安装它们。

你的“信任”问题归结为你担心什么？事实上，任何人都可以创建一个 PPA 并创建一个看起来完美的发光主页。要记住的一件事是，制作 PPA 的人通常是志愿者，就像我们这些阅读 AskUbuntu 的人一样。所以，没有任何保证。实际上，您提到的安装说明中有描述，然后参考此PPA。在这个 PPA 上，他们诚实地说：

Disclaimer: there's no guarantee of timely updates in case of security 
problems or other issues. If you want to use them in a security-or-
otherwise-critical environment (say, on a production server), you do 
so at your own risk.

像这样的事情是否通过或失败了您对信任的定义？似乎每个人都会对信任有不同的定义。事实上，如果我说“是的，你可以信任那个 PPA！” ——但你有什么理由相信我？

无论是 Ubuntu PPA 还是 Microsoft Windows 的某些安装可执行文件，我的经验法则是，如果我担心，我不应该下载它。就您而言，您当前的 PHP 版本应该足够了，我想知道您是否“需要”PHP-8 中的功能，或者您只是无缘无故地想要最新版本？

如果您仍然需要 PHP-8，那么您只需下载并自行安装即可。这是 PHP所在的站点。此源的安装说明可在此处获得。这是最值得信赖的，因为你可以得到......

Answer 3

来自 CentOS 背景...

例如，Ubuntu 20.04 的官方存储库具有 PHP 7.4.3（带有向后移植的修复程序）。如果你想要更高的东西，有人需要为你编译成一个包。我倾向于寻找建造者的知名度。在 RHEL/CentOS 世界中，那个人是Remi Collet（一个 PHP 贡献者），他有一个他的构建库。

同样，ondrej 也有一个网站。他不仅看起来很有名，他还与其他 Ubuntu 打包人员一起工作，而且他似乎是这个 GitHub 贡献者。

TL;DR 安全吗？

它众所周知的事实意味着您不太可能获得一些带有构建问题或恶意代码的角落构建。当然没有保证，但没有公司可以保证你没有恶意的信任，但是有了一个更知名的回购，它不太可能被忽视。