suhosin补丁或扩展和zend优化器

Question

我一直想知道Suhosin Patch和Extension之间的区别？ 例如，我应该使用PHP 5.2.17安装Xcache 1.3.1和Zend Optimizer 3.3.0.a中的哪一个？ 应该是Suhosin Extension 0.9.32.1吗？ 是补丁版本PHP版本特定的Suhosin Patch 0.9.10 for PHP 5.3.4 / 5.3.3和Suhosin Patch 0.9.7 for my case for PHP 5.2.17？

我也无法理解Patch和Extension与安全点之间的明显区别，它们之间的区别如何？

Answer 1

区别很简单。一个（扩展）作为普通扩展运行，因此它保留与其他扩展的兼容性。另一个（补丁）没有，所以它可能会打破其他3pd扩展。

现在，需要考虑的一点是，最新版本的补丁甚至都没有发布（最新的补丁版本是5.3.4，所以你不能使用5.3.5稳定版）。现在，您可以安装旧版本的PHP以使用该修补程序，但这会使您暴露于最新版本中核心关闭的漏洞。哪个恕我直言不值得。

现在，我想清楚地说明一件事。 Suhosin（以及其他扩展/补丁和诸如mod_security之类的东西）实际上并不保护您的代码。让我说agian，因为它很重要：它不保护您的代码。它的作用是关闭一些常用的攻击向量，并禁用一些常用的内部函数。但是仍然可能在代码中存在漏洞。

因此，虽然它可能有助于“支撑”糟糕的代码，但它与良好的代码没有任何区别。如果您花费时间和精力保护代码，那么补丁和扩展程序对于所有实际目的都是无用的。但是就像防火墙一样，每一层都是usefl，只要它不会让你的方式过多（特别是因为它几乎不可能编写100％的安全代码）。

Answer 2

请注意：http://www.hardened-php.net/suhosin/a_feature_list.html

部分引擎保护仅在使用修补的php源时可用。