PHP 4.1.0 版本釋出公告：重大安全性與效能更新詳解

PHP 4.1.0 正式釋出：歷經漫長品保測試終於登場

經過漫長的品質保證（QA）流程，PHP 4.1.0 終於正式發布。開發者可從 PHP 官網下載頁面 取得最新版本。此版本帶來數項關鍵改進，其中最引人注目的莫過於全新的輸入介面、大幅提升的執行效能，以及 Windows 平台上的革命性突破。

核心改進亮點

• 全新輸入介面，強化安全性：引入超全域陣列（$ _GET、$ _POST、$ _COOKIE 等），取代舊有的 register_globals 機制，從根本上降低變數注入攻擊風險。
• 整體效能大幅提升：核心執行效率顯著增強。
• Windows 平台效能與穩定性革命性突破：多執行緒伺服器模組（ISAPI、Apache 等）在負載下效能最高可達舊版 30 倍。特此感謝 Microsoft 的 Brett Brewer 及其團隊對 PHP Windows 版本的貢獻。
• 擴充模組版本控制支援：為未來不同擴充模組獨立版本號奠定基礎，但副作用是舊版編譯的擴充模組將導致嚴重錯誤，請務必使用 PHP 4.1.0 專用編譯模組。
• 內建輸出壓縮支援：支援 Turn-key 輸出壓縮功能。
• 大量錯誤修正與新函數：修復眾多問題並新增實用函數。

此版本具有歷史意義：這是 PHP 歷史上首次釋出中間版本號遞增（4.0.x → 4.1.0），主要原因在於新輸入介面的引入與模組二進位相容性的中斷。

安全性核心：新輸入機制詳細說明

首先必須強調：PHP 4.1.0 完全支援舊版輸入機制，現有應用程式無需修改即可正常運作。但為了安全著想，開發團隊決定棄用 register_globals，並鼓勵開發者在可能情況下將其關閉。

register_globals 的安全隱憂

當 register_globals 開啟時，表單、伺服器與環境變數會自動成為全域命名空間一部分，這極易導致安全漏洞。例如：

<?php
if (authenticate_user()) {
    $authenticated = true;
}
// ...
?>

惡意使用者可透過表單傳遞 authenticated=1，即便 authenticate_user() 回傳 false，$authenticated 仍會被設為 true。這類漏洞在實務中相當普遍。

七大超全域陣列取代舊機制

為協助開發者在 register_globals 關閉環境下撰寫安全程式，PHP 4.1.0 引入七個特殊超全域陣列，它們在任何作用域皆自動為全域：

這些陣列的特殊性在於：無需宣告 global 即可在任何函數、類別中直接存取。例如：

function example1() {
    print $ _GET["name"]; // 直接可用，無需 global $ _GET;
}

遷移建議與未來規劃

• PHP 4.1.0 預設仍開啟 register_globals，屬過渡版本。
• 強烈建議公開應用程式作者修改程式碼，使其在 register_globals=Off 環境下正常運作，並善用新超全域陣列。
• 下一個次要版本中，全新安裝的 PHP 將預設關閉 register_globals；現有安裝（php.ini 已設定 On）不受影響。
• 舊陣列名稱（如 $HTTP_GET_VARS）仍可使用，但建議改用新版簡短自動全域版本。

完整變更清單請參閱官方發布說明文件末尾區段。