PHP 5.3.3 發佈公告

PHP 開發團隊在此宣布 PHP 5.3.3 正式發佈。此版本著重於提升 PHP 5.3.x 分支的穩定性和安全性，包含超過 100 項錯誤修正，其中一些與安全性相關。建議所有使用者升級到此版本。

回溯不相容的變更

• 與命名空間類別名稱的最後一個元素同名的函式將不再被視為建構函式。此變更不影響非命名空間的類別。

  <?php
namespace Foo;
class Bar {
    public function Bar() {
        // 在 PHP 5.3.0-5.3.2 中被視為建構子
        // 在 PHP 5.3.3 中被視為一般方法
    }
}
?>

  從 5.2.x 遷移沒有影響，因為命名空間是 PHP 5.3 才引入的。

PHP 5.3.3 的安全性增強和修正

• 重寫了 var_export()，使用 smart_str 而不是輸出緩衝，防止在發生致命錯誤時洩露數據 (CVE-2010-2531)。
• 修正了 shm_put_var() 中可能的資源銷毀問題。
• 修正了由於 XOR 運算符中斷而可能導致的信息洩漏。
• 修正了由於非預期的調用時傳遞引用以及後續通過回調的記憶體損毀而可能導致的記憶體損毀。
• 修正了 ArrayObject::uasort() 中可能的記憶體損毀。
• 修正了 parse_str() 中可能的記憶體損毀。
• 修正了 pack() 中可能的記憶體損毀。
• 修正了 substr_replace() 中可能的記憶體損毀。
• 修正了 addcslashes() 中可能的記憶體損毀。
• 修正了 fnmatch() 內部可能發生的堆疊耗盡。
• 修正了可能的解塊過濾器緩衝區溢位。
• 修正了 sqlite 擴展內部可能發生的任意記憶體存取。
• 修正了 phar 擴展內部的字串格式驗證。
• 修正了某些前綴字元上處理 session 變數序列化的问题。
• 修正了處理無效 XML-RPC 請求時的 NULL 指標解引用（修正 CVE-2010-0397，錯誤 #51288）。
• 修正了 SplObjectStorage 反序列化問題 (CVE-2010-2225)。
• 修正了 mysqlnd_list_fields、mysqlnd_change_user 中可能的緩衝區溢位。
• 修正了 mysqlnd 中處理錯誤封包時可能發生的緩衝區溢位。

PHP 5.3.3 的主要增強功能包括：

• 將內建的 sqlite 升級到 3.6.23.1 版。
• 將內建的 PCRE 升級到 8.02 版。
• 新增了 FastCGI Process Manager (FPM) SAPI。
• 在 mcrypt 擴展中新增了串流過濾器支援。
• 在 ext/filter 中新增了 full_special_chars 過濾器。
• 修正了由於遞迴 GC 調用而可能發生的當機。
• 修正了錯誤 #52238（在 iterator_to_array 中發生異常時當機）。
• 修正了錯誤 #52041（寫入從函數返回的未初始化變數時發生記憶體洩漏）。
• 修正了錯誤 #52060（將閉包傳遞給 method_exists() 時發生記憶體洩漏）。
• 修正了錯誤 #52001（使用可變變數後的記憶體配置問題）。
• 修正了錯誤 #51723（在 Windows 上使用 Apache2 時，Content-length 標頭限制為 32 位元整數）。
• 修正了錯誤 #48930（在 PHP >= 5.3 中 __COMPILER_HALT_OFFSET__ 不正確）。

對於從 PHP 5.2 升級的用戶，https://php.net.tw/migration53 上提供了遷移指南，詳細說明了這些版本和 PHP 5.3 之間的變化。

有關 PHP 5.3.3 中所有變更的完整列表，請參閱變更日誌。