九零创新实验室

聊天室、游戏等场景躲避不了服务器主动下发消息。通常 PHP 的生命周期都是在一个 HTTP 请求结束之后就会跟着结束，在连接没有断开的情况下，一个请求就会咬住一个进程不放开。这种情况用阻塞 HTTP 请求来等待服务器下发消息就显得很蠢。不过作为世界上最好的语言，PHP 当然是有解的，Hostker 为开发者实现了 WebSocket 服务。 继续阅读用 PHP 实现 WebSocket 服务

这两天一直有小伙伴询问这个漏洞的问题，在这里用团队博客解释一下。这个漏洞对中国大陆的 PHP 用户几乎不存在影响。

在 PHP 环境，HTTP 请求的 Header 会加上 HTTP_ 前缀并放到环境变量和 $_SERVER、$_ENV 中。因此如果发出 Porxy 头部，就会变成 HTTP_PROXY 增加到 PHP 的环境变量中。

极个别的 HTTP 客户端实现有可能会直接读取环境变量的 HTTP_PROXY 头部作为代理，从而导致 PHP 在访问外部 HTTP 的时候数据被绕到这个指定的代理上。目前已知的受影响的库有 Guzzle （已在 4 天前修复）、Artax（本文发布的 13 小时前修复），直接在 PHP 中使用 curl、file_get_contents 并没有任何影响。

以上，就是这个漏洞对 PHP 造成的问题。可以说在中国大陆除了 Composer 依赖（Laravel 等）之外应该没什么人使用那两个库，即使有问题及时升级也可以解决，因此影响几乎为0。

※ 关于 Python、Golang，内置的 HTTP Client 就有影响，具体参考漏洞官方说明

沙箱是我们的命根子，用户之间需要有一套比较完善的隔离方案。因此我们的沙箱做了这些事：

• 文件权限隔离
• 数据库沙箱
• CPU 时间统计
• 网络访问沙箱
• 缓冲区调整
• 危险函数拦截

继续阅读PHP 沙箱环境介绍

比较主流的 PHP 运行模式有三种，分别是：

1. Apache + mod_php 直接挂载模块运行代码，无进程通讯；
2. Nginx + php-fpm 通过 FastCGI 处理进程间通讯；
3. Cpanel、DirectAdmin 所使用的 suPHP 相当于 CGI 模式。

继续阅读对比 PHP 各种运行模式