OPcache izskaidrots: PHP baitkoda kešatmiņa

Īsi: OPcache ir PHP iebūvētā baitkoda kešatmiņa. Saskaņā ar rokasgrāmatu tā glabā iepriekš kompilētu baitkodu koplietojamā atmiņā, tāpēc PHP skriptus nav jāielādē un jāpārveido katrā pieprasījumā. Tas ir komplektā kopš PHP 5.5.0. OPcache padara PHP ātrāku, bet neaizstāj atjauninājumu: pēc PHP ielāpa jāpārstartē visi PHP procesi, nepietiek tikai ar kešatmiņas iztīrīšanu.

Ko OPcache dara precīzi?

Katrā pieprasījumā PHP skripts jānolasa, jāsadala un jāpārveido opcodes, tas ir, komandās Zend Engine virtuālajai mašīnai. CMS ar simtiem failu tas ir liels darbs, kas pastāvīgi atkārtojas.

OPcache šīs pārveides rezultātu glabā koplietojamā atmiņā (Shared Memory). Tai piekļūst visi PHP-FPM pakalpojuma darbprocesi vai visi Apache procesi ar mod_php. Ja fails nemainās, tā baitkods tiek izmantots atkārtoti tieši.

OPcache ielādē kā Zend paplašinājumu, nevis kā parastu paplašinājumu:

; Linux (ceļš atkarībā no pakotnes)
zend_extension=opcache.so
; Windows
; zend_extension=php_opcache.dll

Saskaņā ar rokasgrāmatu OPcache jāielādē pirms Xdebug, ja abi ir aktīvi.

Svarīgi, kam pieder koplietojamā atmiņa. PHP-FPM gadījumā to izveido galvenais process (master), un to izmanto visi šī pakalpojuma visu pūlu darbprocesi. mod_php gadījumā tā pieder Apache galvenajam procesam. Pakalpojuma pārstartēšana tāpēc kešatmiņu iztīra pilnībā, bet atsevišķs jauns darbprocess ne. Komandrindai nav koplietojamas atmiņas starp izsaukumiem, jo katrs izsaukums ir atsevišķs process; tur OPcache pēc noklusējuma ir izslēgts.

Lēmumu pieņēmējiem pietiek ar vienu praktisku likumu: OPcache ražošanas serveros gandrīz vienmēr ir lietderīgs, bet prasa skaidru kārtību izvietošanai un atjauninājumiem.

Kuri OPcache iestatījumi ir svarīgi?

Turpmākās vērtības ņemtas no PHP rokasgrāmatas konfigurācijas lapas. Sleja „Mainīgums“ rāda, kur iestatījumu drīkst iestatīt: INI_SYSTEM tikai php.ini vai servera konfigurācijā, INI_ALL jebkur.

Tipiska ražošanas konfigurācija varētu izskatīties šādi. Vērtības iepriekš pārbaudiet ar savu lietojumprogrammu:

opcache.enable=1
opcache.memory_consumption=256
opcache.interned_strings_buffer=16
opcache.max_accelerated_files=20000
opcache.validate_timestamps=1
opcache.revalidate_freq=60
opcache.restrict_api=/var/www/admin-tools

Kas iestata opcache.validate_timestamps=0, iegūst nedaudz veiktspējas. Taču tad OPcache mainītus failus vairs neatpazīst vispār, un katrai izvietošanai vajadzīga kešatmiņas atiestatīšana vai pārstartēšana.

Kešatmiņas novērošana un mērķtiecīga tīrīšana

OPcache nāk ar savām funkcijām, to vidū opcache_get_status(), opcache_get_configuration(), opcache_invalidate() un opcache_reset(). Īss, tikai lasošs skats uz aizpildījumu:

<?php
$status = opcache_get_status(false);
if ($status === false) {
    exit("OPcache ist nicht aktiv.\n");
}
printf("Gecachte Skripte: %d\n", $status['opcache_statistics']['num_cached_scripts']);
printf("Freier Speicher: %.1f MB\n", $status['memory_usage']['free_memory'] / 1048576);

Serveros ar vairākām vietnēm ne katrai lietojumprogrammai vajadzētu būt iespējai iztīrīt vai nolasīt visu pārējo kešatmiņu. Tam paredzēts opcache.restrict_api: API funkcijas drīkst izsaukt tikai skripti zem norādītā ceļa.

JIT: mašīnkoda kompilators OPcache

Kopš PHP 8.0 OPcache ir JIT kompilators, kas opcodes pārveido mašīnkodā. Saskaņā ar JIT RFC tas ir gandrīz patstāvīga OPcache daļa un izveidoto kodu glabā savā koplietojamās atmiņas apgabalā. Vada to ar opcache.jit un opcache.jit_buffer_size. Kopš PHP 8.4.0 opcache.jit pēc noklusējuma ir disable. Kad JIT ir vērts izmantot, izskaidro raksts JIT un veiktspēja PHP 8.

OPcache un drošība: kas spēkā pēc PHP2Shell

OPcache nav drošības rīks, taču tam ir sekas drošībai. Pēc PHP2Shell svarīgi trīs punkti:

1. Kešatmiņas atiestatīšana nav atjauninājums. opcache_reset() iztīra tikai kešotos skriptus. Interpretators ar ievainojamībām CVE-2026-109618 un CVE-2026-109619 paliek atmiņā, līdz visi procesi ir pārstartēti. Kā to izdarīt, skatiet sadaļā PHP-FPM un visu darbprocesu pārstartēšana.
2. Ievadīts kods var turpināt dzīvot kešatmiņā. Ja fails tika manipulēts un vēlāk aizstāts, ar izslēgtu laika zīmogu pārbaudi var turpināt izpildīt veco versiju. Pēc tīrīšanas tāpēc obligāti jāpārstartē.
3. Koplietojamai atmiņai vajadzīga nošķiršana. Serveros ar vairākiem klientiem palīdz atsevišķi PHP-FPM pūli katrai vietnei, kā arī opcache.validate_permission un opcache.restrict_api. Direktorijam opcache.file_cache jābūt rakstāmam tikai PHP lietotājam.

Kā PHP SOS palīdz konkrēti?

• Pārbaudīt konfigurāciju: Mēs nolasām aktīvo OPcache konfigurāciju katram darbības režīmam un salīdzinām to ar jūsu lietojumprogrammu.
• Nodrošināt izvietošanu: Mēs ieviešam stingru kārtību kešatmiņas atiestatīšanai un pārstartēšanai, lai neturpinātu darboties vecā koda versija.
• Nošķirt klientus: Servera nostiprināšanas ietvaros mēs iestatām atsevišķus pūlus, restrict_api un piemērotas tiesības.
• Kontrolēt pēc atjauninājumiem: Mēs pēc procesu startēšanas laikiem pierādām, ka atjauninātais interpretators patiešām ir aktīvs.

Biežāk uzdotie jautājumi

Avoti

• PHP rokasgrāmata: OPcache
• PHP rokasgrāmata: OPcache konfigurācija
• PHP rokasgrāmata: OPcache instalācija
• PHP RFC: JIT