2009-02-20 15 views
12

ऐसा लगता है कि सुहोसिन पैच और पीएच कोर को कोर में त्रुटियों से बचाने के साधन के रूप में विस्तारित करता है। ऐसा लगता है कि कुछ स्मार्ट लोग इस प्रणाली का उपयोग कर रहे हैं। चूंकि यह एक अच्छी बात प्रतीत होता है, इसलिए मैं उत्सुक हूं कि यह PHP कोर का हिस्सा क्यों नहीं है। किसी को पता है?PHP कोर का सुहोसिन हिस्सा क्यों नहीं है?

अद्यतन: स्पष्ट रूप से लिनक्स के कुछ वितरण डिफ़ॉल्ट रूप से सुहोसिन के साथ PHP को पैकेज करते हैं। यह डेबियन (कम से कम लेनी) और आर्क लिनक्स के लिए सच है। डिफ़ॉल्ट रूप से Suhosin के साथ PHP कोई अन्य वितरण पैकेज?

+0

मुझे लगता है कि यह एक बहुत पुरानी पोस्ट है, लेकिन जब भी आप आरएचईएल/सुहोसिन से संबंधित सामग्री के लिए Google पर खोज करते हैं तो यह शीर्ष रैंकिंग हिट में से एक है। 2012 तक, आर्क लिनक्स और डेबियन ने सुहोसिन को छोड़ दिया है। स्रोत: https://pierre-schmitz.com/php-5-4-1-in-suhosin-out/ और http://news.php.net/php.internals/57610 – zeitgeist

उत्तर

16

सुहोसिन के पीछे मुख्य लोगों में से एक स्टीफन एस्सार है। ऐसा लगता है कि पिछले कुछ सालों में स्टीफन ने PHP कोर डेवलपर्स के साथ regard to security के साथ चल रही असहमति जारी रखी है। वह month of PHP bugs के पीछे के लोगों में से एक थे, जिसका उद्देश्य PHP कोर सुरक्षा की उदासीन स्थिति (स्टीफन की राय में) पर ध्यान आकर्षित करना था।

यह देखते हुए कि Suhosin लोग अपने तरीके से जाने के लिए और पीएचपी परियोजना के बाहर काम करने का फैसला किया है, मैं कल्पना कर सकते हैं कि:

  • ऐसा नहीं है कि Suhosin शामिल करने के लिए वापस योगदान नहीं किया गया है संभव है।
  • सुहोसिन लोग इसकी उपयोगिता की PHP टीम को मनाने में सक्षम नहीं हैं, या कोशिश नहीं की है।
  • मूल PHP टीम Suhosin के पीछे लोगों से योगदान के लिए खुला नहीं है।

ऐसे डेबियन (खोदना और लेनी), Ubuntu और आर्क के रूप में कुछ लिनक्स वितरण, उनके पीएचपी पैकेज में Suhosin पैच शामिल हैं ताकि उन प्रणालियों पर आप अक्सर यह डिफ़ॉल्ट रूप से चालू है मिल जाएगा। Red Hat व्युत्पन्न वितरण (Red Hat Enterprise, CentOS, Fedora, आदि) में उनके PHP संकुल में सुहोसिन शामिल नहीं है।

नोट: मेरे पास कोर PHP देव, या सुहोसिन के साथ कोई संबंध नहीं है, लेकिन इसमें शामिल कुछ व्यक्तित्वों के आधार पर उचित अनुमान है।

0

मुझे आश्चर्य है कि उन्होंने अपने कोड को मुख्य PHP परियोजना में वापस योगदान दिया है?

आमतौर पर यह नया कोड ओपन-सोर्स प्रोजेक्ट्स में एकीकृत कैसे होता है।

1

मैं php टीम Suhosin शामिल करने के लिए नहीं के लिए मुख्य कारणों लगता हूं:

  • यह हो सकता है मौजूदा (बुरी तरह से लिखा) php कोड को तोड़ने
  • यह हो सकता तोड़ने (बुरी तरह से लिखा) php एक्सटेंशन (मैं याद रखें ज़ेंड ऑप्टिमाइज़र समस्याग्रस्त है)
+0

सुहोसिन पैच बाइनरी संगत है मूल PHP रिलीज, इसलिए सुहोसिन लोग सभी एक्सटेंशन (ज़ेंड ऑप्टिमाइज़र समेत) के साथ पूर्ण संगतता का दावा करते हैं। सिद्धांत रूप में, इसे ऐसी किसी भी चीज़ को तोड़ना नहीं चाहिए जिसमें पहले से ही सुरक्षा समस्याएं न हों। –

+1

@Jim - यह PHP है जिसके बारे में हम बात कर रहे हैं। मुझे यकीन है कि गंभीर सुरक्षा मुद्दों के साथ वहां बहुत सारे बुरे कोड हैं। –

संबंधित मुद्दे