Paranoid Sysadmin -vs- 过时的 PHP 版本

Question

偏执的系统管理员如何才能自信地与最新的稳定 PHP 版本保持同步？（安全修复程序已经很频繁地出现了）。

这是一个生产服务器，所以“破坏东西”把我的家伙吓死了。维护停机时间不是问题。

具体来说，我们正在运行最新的 Suse Enterprise Linux，但通用或更通用的答案是完全可以接受的。

您如何处理生产机器的安全更新？是什么让我们如此无知，这家伙竟然如此害怕只使用包管理器来“更新”？

有什么建议吗？

Answer 1

我处理 PHP 的方式与处理其他所有事情的方式相同：首先升级开发环境（生产环境的 VMWare 克隆），对其进行回归测试，然后使用我们用于 VMWare 主机的相同部署模板将其升级到生产环境。（如果您使用包管理器进行升级，您将使用相同的包）。

作为额外的隔离层，我们的生产环境由成对的冗余主机组成，其中一台主机被从生产轮换中取出以进行升级，然后在我们切换到该主机以升级其合作伙伴之前进行彻底测试。

作为一般规则，安全更新会尽快应用，非安全/非关键错误修复更新每季度应用一次，以最大限度地减少停机时间。

Answer 2

PHP 是我最需要更新到当前版本的内容之一。我对它的信任度胜过对大多数事情的信任度。

最终，您最好的选择是查看从当前版本到最新版本的每个变更日志，并切实权衡风险。

如果您正在谈论升级小版本，例如 5.3.1 到 5.3.2，我不会太担心。

如果您从 5.2.x 升级到 5.3.x，则可能会引入一些兼容性问题。

如果您使用系统包，通常发行版不会引入会破坏现有性能的升级。RHEL 和 CentOS 会对旧版本进行修补，直到发布主要发行版。通常，他们会为您进行测试，这可以降低风险。我希望 SuSE企业也能类似。

对于升级路径，最好的选择是构建一个测试服务器并在升级生产之前针对最新版本测试应用程序。