PHP 5.3.3 版本发布公告

PHP 开发团队很高兴地宣布 PHP 5.3.3 现已正式发布。此版本侧重于提高 PHP 5.3.x 分支的稳定性和安全性，包含超过 100 个错误修复，其中一些与安全相关。鼓励所有用户升级到此版本。

向后不兼容的更改

• 与命名空间类名最后一个元素同名的函数将不再被视为构造函数。此更改不影响非命名空间类。

  <?php
namespace Foo;
class Bar {
    public function Bar() {
        // 在 PHP 5.3.0-5.3.2 中被视为构造函数
        // 在 PHP 5.3.3 中被视为普通方法
    }
}
?>

  从 5.2.x 迁移没有影响，因为命名空间是在 PHP 5.3 中引入的。

PHP 5.3.3 中的安全增强和修复

• 重写了 var_export() 以使用 smart_str 而不是输出缓冲，防止在发生致命错误时泄露数据 (CVE-2010-2531)。
• 修复了 shm_put_var() 中可能存在的资源销毁问题。
• 修复了由于 XOR 运算符中断导致的可能的信息泄漏。
• 修复了由于意外的按引用传递调用时间和随后通过回调进行的内存覆盖导致的可能内存损坏。
• 修复了 ArrayObject::uasort() 中可能存在的内存损坏。
• 修复了 parse_str() 中可能存在的内存损坏。
• 修复了 pack() 中可能存在的内存损坏。
• 修复了 substr_replace() 中可能存在的内存损坏。
• 修复了 addcslashes() 中可能存在的内存损坏。
• 修复了 fnmatch() 内部可能存在的堆栈耗尽。
• 修复了可能的 dechunking 过滤器缓冲区溢出。
• 修复了 sqlite 扩展内部可能存在的任意内存访问。
• 修复了 phar 扩展内部的字符串格式验证。
• 修复了在某些前缀字符上处理会话变量序列化的问题。
• 修复了处理无效 XML-RPC 请求时发生的空指针解引用 (修复 CVE-2010-0397，错误 #51288)。
• 修复了 SplObjectStorage 反序列化问题 (CVE-2010-2225)。
• 修复了 mysqlnd_list_fields、mysqlnd_change_user 中可能存在的缓冲区溢出。
• 修复了处理 mysqlnd 中错误数据包时可能存在的缓冲区溢出。

PHP 5.3.3 中的关键增强功能包括

• 将捆绑的 sqlite 升级到 3.6.23.1 版本。
• 将捆绑的 PCRE 升级到 8.02 版本。
• 添加了 FastCGI 进程管理器 (FPM) SAPI。
• 为 mcrypt 扩展添加了流过滤器支持。
• 为 ext/filter 添加了 full_special_chars 过滤器。
• 修复了由于递归 GC 调用导致的可能崩溃。
• 修复了错误 #52238（在迭代器中发生异常时崩溃）。
• 修复了错误 #52041（在写入从函数返回的未初始化变量时出现内存泄漏）。
• 修复了错误 #52060（将闭包传递给 method_exists() 时出现内存泄漏）。
• 修复了错误 #52001（使用可变变量后出现内存分配问题）。
• 修复了错误 #51723（在 Windows 上使用 Apache2 时，Content-length 标头限制为 32 位整数）。
• 修复了错误 #48930（PHP >= 5.3 中 __COMPILER_HALT_OFFSET__ 不正确）。

对于从 PHP 5.2 升级的用户，可以在 https://php.net/migration53 上找到迁移指南，其中详细说明了这些版本与 PHP 5.3 之间的更改。

有关 PHP 5.3.3 中所有更改的完整列表，请参阅 ChangeLog。