Seit gestern, dem 3. Geburtstag von PHP5, ist es offiziell:
Die Entwicklung von PHP4 wird Ende 2007 beendet.

Die PHP Entwickler haben sich in verblüffend kurzer Zeit in einem Mail-Thread auf der internals@php.net Liste auf diesen Termin für das Ende von PHP4 geeinigt. Bis zum 2008-08-08 wird es noch Security-Fixes geben, aber keine neunen PHP4 Releases mehr.

Ein entsprechender Hinweis ist jetzt auch auf www.php.net und auf den Download-Seiten von PHP zu finden.

PHP4 ist tot, es lebe PHP5!

Wie jeden 2. Mittwoch im Monat trifft sich die PHP User Group Stuttgart auch im August wieder zu einem Vortrag und anschliessendem gemütlichen Beisammensein.

Am 8.8.2007 werde ich folgenden Vortag halten:
---------------------------------------------------------------------------------------------------
PHP5 und XML / XSLT
---------------------------------------------------------------------------------------------------
XHTML, Web 2.0, Webservices, Open Document Format, XML wohin man schaut.

Themen des Vortrages sind:

• ein Überblick über die Grundlagen:
  "Was ist XML, XSL und XPath"
• die verschiedenen Erweiterungen und Möglichkeiten die PHP5 für die Arbeit mit XML und XSLT bietet
• warum es sinnvoll ist mit solchen offenen Standards zu arbeiten

Anhand eines praktischen Beispiels werde ich dann noch zeigen, wie einfach es ist mit PHP5 aus XML-Daten z.B. XHTML-Seiten zu erstellen und was für Möglichkeiten und Vorteile dabei XSLT als Transformations- und Template-Sprache bietet.

Eingeladen ist wie immer, jeder Interessierte, besonders PHPler aus Stuttgart.

Termin: Mittwoch, den 8. August 2007, 19.00 Uhr
Ort: Wirtschaftförderung Region Stuttgart, Friedrichsstr. 10, Stuttgart
Weitere Informationen auf http://www.phpugs.de

Heute gab es einen Abstimmungs-Thread auf der PHP-Internals Liste ausgelöst durch eine Mail von Derick Rethans (PHP 4.4 Release Master) ob der Support für PHP4 beendet werden soll. Als Termin wurde Ende 2007 genannt.

Wegen der aber immer noch sehr grossen Zahl an PHP4 Installationen gibt es Überlegungen zumindest Security-Bugs in PHP4 auch nach diesem Termin zu beheben, nur eben sonst nichts mehr an PHP4 zu machen, also keine "normalen" Bugs mehr zu beheben und keine neuen Features mehr aus aktuelleren Versionen nach PHP4 zu portieren.
Da das im Prinzip aber schon jetzt so wäre, kam die Frage, auf was so ein End-Datum denn dann bringen soll. Auch über den Termin waren sich die Entwickler nicht alle einig.
Grundsätzlich scheint aber der Wunsch PHP4 so schnell wie möglich los werden zu wollen von der Mehrheit der Entwickler mitgetragen zu werden.
Mal sehen was draus wird.

Kein Frage,

• PHP hat immer wieder Sicherheitslücken
• Ja, die sollten schneller geschlossen werden
• Ja, das QA-Management von PHP ist bestimmt nicht (immer) optimal

ABER:
Wenn Sprachen, welche als "sicherer" oder "professioneller" bezeichnet werden, genauso weit verbreitet bzw. auf jedem x-beliebigen Webserver für jeden DAU verfügbar wären wie PHP, dann gäbe es für Applikationen in diesen "supersicheren" Sprachen mit Sicherheit ähnlich viele Angriffsziele wie für PHP-Applikationen.

Wenn ich mir anschaue, über welche Löcher Angreifer bei uns Webserver aufmachen, dann sind das in den allermeisten Fällen (> 90%) entweder üble Bugs in den Applikationen selber oder "irgendjemand" der nicht mal ansatzweise ein Verständnis dafür hat was er da gerade tut, installiert sich Applikation XY auf seinem Webspace ohne diese abzusichern.... In den Specs der Web-Applikationen die man so im Netz findet steht ja auch meistens: kein Thema, das können Sie ganz einfach auf jedem Webserver mit PHP laufen lassen, auspacken und gut ist.

Ist PHP also unsicher weil...

• es so erfolgreich und beliebt geworden ist?
• viele (PHP)Programmierer kein ausreichendes Sicherheits-Bewusstsein haben?