Štandardy PSR od PHP-FIG

Stručne: PSR (PHP Standards Recommendations) sú štandardy PHP-FIG, skupiny etablovaných projektov PHP. Určujú spoločné pravidlá a rozhrania, napríklad PSR-4 pre autoloading, PSR-3 pre loggery, PSR-7 pre správy HTTP a PSR-11 pre kontajnery. Každý PSR má stav: akceptovaný, návrh, zastaraný alebo opustený. PSR robia kód zameniteľnejším a ľahšie kontrolovateľným, ale neuzatvárajú zraniteľnosti v interpreteri PHP, ako PHP2Shell.

Čo je PHP-FIG a čo sú PSR?

PHP-FIG znamená PHP Framework Interop Group. Skupina sama opisuje svoj cieľ ako posúvanie PHP dopredu prostredníctvom spolupráce a štandardov. Za PSR teda nestojí výrobca, ale dohoda medzi projektmi, ktoré chcú svoj softvér udržať navzájom kompatibilný.

Pre rozhodovateľov je prínos hmatateľný: ak sa aplikácia drží rozhraní PSR, dá sa napríklad vymeniť knižnica na zapisovanie logov bez zásahu do celého kódu. To znižuje závislosť od jednotlivých balíkov a dodávateľov.

Cesta PSR: od Pre-Draft po Accepted

Stanovy PHP-FIG opisujú pevný postup:

1. Pre-Draft: Zisťuje sa, či je dostatočný záujem. Vytvorí sa pracovná skupina a po úspešnom hlasovaní dostane návrh číslo PSR.
2. Draft: Návrh sa vypracúva, alternatívy a odôvodnenia sa dostanú do metadokumentu.
3. Review: Komunita testuje špecifikáciu pomocou skúšobných implementácií, najmenej štyri týždne a dovtedy, kým nie sú k dispozícii dve nezávislé, životaschopné implementácie.
4. Accepted: Po úspešnom hlasovaní je PSR prijatý; pracovná skupina sa rozpustí.

Okrem toho existujú dva ďalšie stavy. Deprecated znamená: prijatý, ale už sa neodporúča, väčšinou preto, že ho nahradil novší štandard. Abandoned znamená: už sa na ňom nepracuje.

Všetky PSR so stavom

Stav podľa prehľadu PHP-FIG v čase vzniku tejto stránky:

Najdôležitejšie PSR pre prax

• PSR-4 (autoloading): priraďuje názvy tried k cestám súborov a je základom autoloadera Composeru. Podrobnosti na stránke Menné priestory a autoloading.
• PSR-1 a PER Coding Style: spoločné pravidlá pre písanie a formátovanie. PER Coding Style podľa PHP-FIG rozširuje a nahrádza PSR-12 a predpokladá PSR-1.
• PSR-3 (logger): jednotné rozhranie loggera v mennom priestore Psr\Log s ôsmimi úrovňami od emergency po debug.
• PSR-7, PSR-15, PSR-17, PSR-18 (HTTP): rozhrania pre požiadavky a odpovede, middleware, továrne a klientov HTTP. Mnohé frameworky PHP na nich stoja alebo ponúkajú mosty.
• PSR-11 (kontajner): spoločné rozhranie pre kontajnery dependency injection.
• PSR-6 a PSR-16 (cache): dve rozhrania pre vyrovnávaciu pamäť, podrobné a jednoduché.
• PSR-14 a PSR-20 (udalosti, hodiny): spoločné rozhrania pre udalosti a pre aktuálny čas. Vymeniteľné hodiny robia kód závislý od času, napríklad vypršanie platnosti tokenov, dobre testovateľným.

Čísla mimochodom nič nevypovedajú o dôležitosti. Prideľujú sa pri vstupe do fázy návrhu, preto stoja zastarané a opustené návrhy medzi dôležitými, akceptovanými štandardmi.

<?php
use Psr\Log\LoggerInterface;

final class Bestellimport
{
    public function __construct(private LoggerInterface $log) {}

    public function importieren(string $datei): void
    {
        try {
            // ... spracovať súbor ...
        } catch (\Throwable $e) {
            $this->log->error('Import von {datei} fehlgeschlagen', [
                'datei'     => basename($datei),
                'exception' => $e,
            ]);
        }
    }
}

Čo majú PSR spoločné s bezpečnosťou

Viaceré štandardy sa bezpečnosti dotýkajú priamo. PSR-3 určuje, že výnimky sa odovzdávajú pod kľúčom exception v kontexte a zástupné znaky ako {datei} sa nahrádzajú z kontextu. Hodnoty pritom nemajú byť vopred maskované, pretože logger nevie, kde sa neskôr zobrazia. Kto zobrazuje logy vo webovom rozhraní, musí maskovať tam. Viac v článku Bezpečné zapisovanie do logov.

PSR-7 opisuje správy HTTP ako nemenné objekty a s UploadedFileInterface::moveTo() ponúka jednotný spôsob ukladania nahraných súborov. Špecifikácia vyžaduje, aby bol pôvodný súbor potom odstránený. Kontrola typu súboru a cieľového miesta zostáva úlohou aplikácie.

Pozoruhodné je, že PSR-9 (Security Advisories) a PSR-10 (Security Reporting Process) boli opustené. Spoločný štandard pre bezpečnostné oznámenia teda neexistuje; každý projekt si ho upravuje sám. Ako so zraniteľnosťami nakladá samotný projekt PHP, opisuje stránka Ako projekt PHP rieši bezpečnostné zraniteľnosti.

Proti PHP2Shell štandardy nepomáhajú: zraniteľnosti CVE-2026-109618 a CVE-2026-109619 sú v interpreteri. Povinná je aktualizácia na PHP 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35 a reštart všetkých procesov PHP.

Ako PHP SOS konkrétne pomáha?

• Kontrolujeme, ako vaša aplikácia zapisuje logy, a zabezpečujeme, aby výnimky skončili v logu, ale nie prístupové údaje ani identifikátory relácií.
• Hodnotíme, ako je implementované spracovanie nahrávania a HTTP, aj keď beží cez knižnice PSR-7.
• Vlastné vývojové diela skúmame v rámci bezpečnostného auditu a penetračného testu.
• Nasadzujeme aktualizácie PHP, reštartujeme všetky workery a dokumentujeme stav.

Časté otázky

Zdroje

• PHP-FIG: Prehľad PSR
• PHP-FIG: Pracovný postup PSR
• PHP-FIG: PER Coding Style
• PHP-FIG: PSR-3 Logger Interface
• PHP-FIG: PSR-7 HTTP Message Interface