Почему Сухосин не является частью ядра PHP?

Кажется, Suhosin исправляет и расширяет ядро ​​PHP как средство защиты пользователей от недостатков в ядре. Также кажется, что некоторые умные люди используют эту систему. Поскольку это, как представляется, хорошо, мне любопытно, почему это не часть ядра PHP, чтобы начать с. Кто-нибудь знает?

Обновление:. По-видимому, некоторые дистрибутивы Linux также поставляют PHP с Suhosin по умолчанию. Это похоже на Debian (по крайней мере, Lenny) и Arch Linux. Любой другой пакет дистрибутивов PHP с Suhosin по умолчанию?

Ответы

Ответ 1

Одним из главных парней Сухосина является Стефан Эссер. По-видимому, Стефан по-прежнему не соглашался с основными разработчиками PHP с в отношении безопасности за последние несколько лет. Он также был одним из парней из месяца ошибок PHP, который должен был привлечь внимание к (по мнению Стефана) печальному состоянию PHP безопасности ядра.

Учитывая, что ребята Suhosin решили пойти своим путем и работать вне проекта PHP, я могу себе представить, что:

  • Возможно, Сухосин не был внесен обратно для включения.
  • Сухозинские парни не смогли убедить команду PHP в ее полезности или не пробовали.
  • Основная команда PHP не открыта для вкладов парней, стоящих за Сухозином.

Некоторые дистрибутивы Linux, такие как Debian (Etch и Lenny), Ubuntu и Arch, включают в себя пакет Suhosin в своем пакете PHP, поэтому в тех системах вы часто обнаружите, что он включен по умолчанию. Распределенные дистрибутивы Red Hat (Red Hat Enterprise, CentOS, Fedora и т.д.) Не включают Suhosin в свои пакеты PHP.

Примечание. У меня нет связи с Core PHP devs или Suhosin, но разумное предположение основано на некоторых вовлеченных личностях.

Ответ 2

Я бы предположил, что основные причины, по которым команда php не включает Suhosin:

  • Это может сломать существующий (плохо написанный) PHP-код
  • Это может сломать (плохо написанные) расширения php (я помню, что Zend Optimizer был проблематичным)

Ответ 3

Интересно, что они внесли свой код обратно в основной проект php?

Как правило, новый код интегрируется в проекты с открытым исходным кодом.