为什么需要 PHP Suhosin？PHP 不是已经为安全性打了补丁吗？

Question

我打算设置一个 Linux-VPS 并在其上运行一个 PHP 站点。我读过建议使用PHP Suhosin来修补PHP以确保安全。但是不是在每个新版本中都为 PHP 打了安全补丁吗？还是 PHP Suhosin 使安全性比 PHP 自己计划做的更好？还是 PHP Suhosin 仅适用于旧版本的 PHP？

Answer 1

我认为您应该从不同的安全方法来理解这一点。Suhosin 补丁改变了处理变量和流的一些基本方式，并且对语言甚至可能实现的功能采取了更加强硬的方法。并不是说 PHP 本身没有打补丁以包含针对已知危害的保护，而是作为一种语言，他们选择允许某些更具风险的行为。就可能的攻击面而言，根据其他人关于什么应该和不应该被允许的想法进行修补可能会为您提供一个更安全的平台，但它也可能会限制您可以运行的 PHP 软件。某些 PHP 包可能无法很好地响应更严格的规则。

如果您从头开始编写自己的软件，听起来 Suhosin 补丁集可能是个好主意。您应该学习最佳实践技术，而最受限制的语言可能就是这样做的方法。如果您要运行一些与修改后的 PHP 不兼容的包，您可能没有这种奢侈。