fix: Lauffaehigkeit unter PHP 8.4 und 8.5 herstellen

Auf einem Hetzner-Webhosting mit PHP 8.5 brach die Anwendung beim ersten Aufruf ab. Ausloeser war session.sid_length: seit PHP 8.4 als veraltet gemarkt. Die Meldung wurde ausgegeben, damit waren Header raus - und danach liess sich weder eine ini-Einstellung aendern noch eine Session starten. Aus einer Randnotiz wurde so ein Totalausfall. Behoben auf drei Ebenen: 1. Die veralteten Aufrufe sind weg. session.sid_length und session.sid_bits_per_character werden nicht mehr gesetzt; die Voreinstellungen liefern mit 128 Bit ohnehin genug Entropie. Ebenso entfallen curl_close(), imagedestroy() und finfo_close() - seit PHP 8.0 bzw. 8.5 wirkungslos und als veraltet gemeldet. 2. public/index.php puffert die Ausgabe von der ersten Zeile an. Viele Hoster erzwingen display_errors und lassen sich per ini_set() nicht davon abbringen. Gepuffert laesst sich Fremdausgabe vor dem Senden verwerfen und ins Fehlerprotokoll umleiten, statt die Antwort zu zerstoeren. Das schuetzt auch Binaerdownloads: eine einzelne Meldung haette bisher jedes PNG beschaedigt. Session::start() meldet ausserdem klar, wenn doch schon Ausgaben raus sind, statt eine Kaskade aus Warnungen zu erzeugen. 3. endroid/qr-code von 5.1 auf 6.0 angehoben. Version 5 markiert Parameter implizit als nullable, was PHP 8.4 bemaengelt - bei jedem erzeugten QR-Code. Version 6.1 waere ebenfalls verfuegbar, verlangt aber PHP 8.4+ und wuerde Hoster mit 8.2 oder 8.3 ausschliessen; 6.0 laeuft ab 8.1. Getestet wird jetzt gegen PHP 8.3, 8.4 und 8.5, jeweils mit display_errors=On und error_reporting=E_ALL, damit Deprecations sichtbar werden statt still im Log zu landen. Alle 232 Tests laufen auf allen drei Versionen ohne eine einzige Meldung durch. Zusaetzlich ist das Release-Paket in einer PHP-8.5-Umgebung mit fremdem Webroot geprueft: Ersteinrichtung, Kurzlinks, Weiterleitung, QR-Codes und Statistik, ohne Streuausgabe in Seiten oder Downloads.
2026-08-12 18:01:30 +02:00
parent c65c02cda5
commit 649f6ba247
11 changed files with 98 additions and 19 deletions
@@ -69,7 +69,7 @@ Benutzername und Passwort.

 | | |
 |---|---|
-| PHP | 8.2 oder neuer |
+| PHP | 8.2 oder neuer – getestet mit **8.3, 8.4 und 8.5** |
 | Erweiterungen | `pdo` + `pdo_sqlite` (Standard) bzw. `pdo_mysql`, `gd`, `json`, `mbstring`, `fileinfo` |
 | Optional | `imagick` – nur nötig, wenn SVG-Logos auch im **PNG**-Download erscheinen sollen |
 | Optional | `intl` – für Umlaut-Domains nach UTS-46; fehlt sie, greift ein eingebauter Punycode-Fallback |
@@ -682,6 +682,12 @@ Ohne lokales PHP über Docker:
 docker run --rm -v "$PWD:/app" -w /app urlshort-qr-gen:latest vendor/bin/phpunit
 ```

+Die Suite läuft ohne Deprecation-Meldungen unter PHP 8.3, 8.4 und 8.5. Das ist kein
+Selbstzweck: Viele Hoster haben `display_errors` erzwungen auf `On`. Eine einzige
+Meldung würde dort verhindern, dass noch HTTP-Header gesendet werden – keine Session,
+keine Weiterleitung – und jeden PNG-Download beschädigen. Zusätzlich puffert
+`public/index.php` die Ausgabe und verwirft Fremdausgaben, bevor die Antwort rausgeht.
+
 Abgedeckt sind die Kernlogik und die Weiterleitung:

 - `SlugTest` – Zufallserzeugung, Kollisionsbehandlung, Normalisierung, Validierung
@@ -9,7 +9,7 @@
        "ext-pdo": "*",
        "ext-gd": "*",
        "ext-mbstring": "*",
-        "endroid/qr-code": "^5.0"
+        "endroid/qr-code": "^6.0"
    },
    "suggest": {
        "ext-intl": "Umlaut-Domains (IDN) nach UTS-46 umwandeln; ohne intl greift ein eigener Punycode-Rueckfallweg",
@@ -4,7 +4,7 @@
        "Read more about it at https://getcomposer.org/doc/01-basic-usage.md#installing-dependencies",
        "This file is @generated automatically"
    ],
-    "content-hash": "f1b5bd346bb675500290d6e5402ce9ab",
+    "content-hash": "a205de8679621b2557540230105a5cd1",
    "packages": [
        {
            "name": "bacon/bacon-qr-code",
@@ -113,21 +113,21 @@
        },
        {
            "name": "endroid/qr-code",
-            "version": "5.1.0",
+            "version": "6.0.9",
            "source": {
                "type": "git",
                "url": "https://github.com/endroid/qr-code.git",
-                "reference": "393fec6c4cbdc1bd65570ac9d245704428010122"
+                "reference": "21e888e8597440b2205e2e5c484b6c8e556bcd1a"
            },
            "dist": {
                "type": "zip",
-                "url": "https://api.github.com/repos/endroid/qr-code/zipball/393fec6c4cbdc1bd65570ac9d245704428010122",
-                "reference": "393fec6c4cbdc1bd65570ac9d245704428010122",
+                "url": "https://api.github.com/repos/endroid/qr-code/zipball/21e888e8597440b2205e2e5c484b6c8e556bcd1a",
+                "reference": "21e888e8597440b2205e2e5c484b6c8e556bcd1a",
                "shasum": ""
            },
            "require": {
                "bacon/bacon-qr-code": "^3.0",
-                "php": "^8.1"
+                "php": "^8.2"
            },
            "require-dev": {
                "endroid/quality": "dev-main",
@@ -144,7 +144,7 @@
            "type": "library",
            "extra": {
                "branch-alias": {
-                    "dev-main": "5.x-dev"
+                    "dev-main": "6.x-dev"
                }
            },
            "autoload": {
@@ -173,7 +173,7 @@
            ],
            "support": {
                "issues": "https://github.com/endroid/qr-code/issues",
-                "source": "https://github.com/endroid/qr-code/tree/5.1.0"
+                "source": "https://github.com/endroid/qr-code/tree/6.0.9"
            },
            "funding": [
                {
@@ -181,7 +181,7 @@
                    "type": "github"
                }
            ],
-            "time": "2024-09-08T08:52:55+00:00"
+            "time": "2025-07-13T19:59:45+00:00"
        }
    ],
    "packages-dev": [
@@ -17,6 +17,15 @@ declare(strict_types=1);
 use App\App;
 use App\Config;

+// Ausgabepuffer, bevor irgendetwas ausgegeben werden kann: Manche
+// Hoster erzwingen display_errors und lassen sich davon per ini_set()
+// nicht abbringen. Eine einzige Meldung wuerde sonst genuegen, damit
+// keine Header mehr gesendet werden koennen - keine Session, keine
+// Weiterleitung - und jeder PNG- oder SVG-Download waere beschaedigt.
+// Gepuffert laesst sich solche Streuausgabe vor dem Senden verwerfen
+// und stattdessen protokollieren.
+ob_start();
+
 $rootDir = dirname(__DIR__);

 $autoload = $rootDir . '/vendor/autoload.php';
@@ -116,6 +116,7 @@ final class App
            }
        }

+        $response = $this->discardStrayOutput($response);
        $response->send();
        $this->finishRequest();

@@ -291,6 +292,46 @@ final class App
        return Response::html($html, 500);
    }

+    /**
+     * Leert die Ausgabepuffer, bevor die eigentliche Antwort rausgeht.
+     *
+     * Alles, was sich dort angesammelt hat, stammt nicht von dieser
+     * Anwendung (die Templates rendern in eigene Puffer und liefern
+     * Zeichenketten zurueck), sondern von PHP-Meldungen des Servers.
+     * Solche Streuausgabe wuerde Header verhindern und Binaerdownloads
+     * beschaedigen - sie wandert deshalb ins Fehlerprotokoll.
+     */
+    private function discardStrayOutput(Response $response): Response
+    {
+        $stray = '';
+        while (ob_get_level() > 0) {
+            $stray .= (string) ob_get_clean();
+        }
+
+        if (trim($stray) === '') {
+            return $response;
+        }
+
+        error_log('[urlshort] Unerwartete Ausgabe vor der Antwort: ' . mb_substr(trim($stray), 0, 1000));
+
+        // Im Entwicklungsmodus nicht stillschweigend verschlucken -
+        // aber nur bei HTML, sonst waere das Bild wieder kaputt.
+        $isHtml = str_starts_with($response->headers()['Content-Type'] ?? '', 'text/html');
+        if ($this->config->isDevelopment() && $isHtml) {
+            // Bewusst ueber den Konstruktor, damit Status und die eben
+            // gesetzten Security-Header erhalten bleiben.
+            return new Response(
+                '<pre style="background:#fee;border:1px solid #c00;padding:1rem;margin:0;overflow:auto">'
+                . htmlspecialchars(trim($stray), ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8')
+                . '</pre>' . $response->body(),
+                $response->status(),
+                $response->headers(),
+            );
+        }
+
+        return $response;
+    }
+
    /**
     * Antwort ausliefern und die Verbindung schliessen, damit Nacharbeiten
     * (Klick-Protokollierung) den Nutzer nicht warten lassen.
@@ -135,7 +135,10 @@ final class LogoStore
            );
        }

-        imagedestroy($image);
+        // Kein imagedestroy(): seit PHP 8.0 wirkungslos (GdImage ist ein
+        // Objekt), seit 8.5 als veraltet gemeldet. Der Speicher wird
+        // freigegeben, sobald die Variable ausser Reichweite geraet.
+        unset($image);
    }

    private function detectMimeType(string $path, string $originalName): string
@@ -158,7 +161,9 @@ final class LogoStore
            $finfo = finfo_open(FILEINFO_MIME_TYPE);
            if ($finfo !== false) {
                $mime = finfo_file($finfo, $path);
-                finfo_close($finfo);
+                // Kein finfo_close(): finfo-Objekte raeumt PHP selbst auf,
+                // seit 8.5 ist der Aufruf als veraltet gemeldet.
+                unset($finfo);
                if (is_string($mime)) {
                    return $mime;
                }
@@ -5,6 +5,7 @@ declare(strict_types=1);
 namespace App\Security;

 use App\Config;
+use RuntimeException;

 /**
 * Sichere Session-Konfiguration.
@@ -47,8 +48,24 @@ final class Session
        ini_set('session.use_only_cookies', '1');
        ini_set('session.cookie_httponly', '1');
        ini_set('session.gc_maxlifetime', (string) $lifetime);
-        ini_set('session.sid_length', '48');
-        ini_set('session.sid_bits_per_character', '5');
+
+        // session.sid_length und session.sid_bits_per_character werden
+        // hier bewusst NICHT gesetzt: PHP 8.4 hat beide als veraltet
+        // markiert. Die Voreinstellungen (32 Zeichen aus 4 Bit je
+        // Zeichen = 128 Bit Entropie) sind ohnehin ausreichend.
+
+        // Sind bereits Ausgaben rausgegangen - etwa eine Meldung des
+        // Hosters -, kann keine Session mehr beginnen. Statt einer
+        // Kaskade aus Warnungen dann lieber eine klare Fehlermeldung.
+        if (headers_sent($file, $line)) {
+            throw new RuntimeException(sprintf(
+                'Die Sitzung kann nicht gestartet werden, weil bereits Ausgaben gesendet wurden (%s Zeile %d). '
+                . 'Meist steckt eine PHP-Meldung des Servers dahinter; mit APP_ENV=production werden solche '
+                . 'Meldungen unterdrueckt.',
+                $file !== '' ? $file : 'unbekannt',
+                $line,
+            ));
+        }

        session_start();
        $this->started = true;
@@ -355,7 +355,10 @@ final class DomainChecker
        $status = (int) curl_getinfo($handle, CURLINFO_RESPONSE_CODE);
        $location = (string) (curl_getinfo($handle, CURLINFO_REDIRECT_URL) ?: '');
        $message = curl_error($handle);
-        curl_close($handle);
+        // Kein curl_close(): seit PHP 8.0 wirkungslos (CurlHandle ist ein
+        // Objekt und wird selbst aufgeraeumt), seit 8.5 als veraltet
+        // gemeldet. Das Handle faellt hier ohnehin aus dem Gueltigkeitsbereich.
+        unset($handle);

        // Abbruch durch die Groessenbegrenzung ist kein echter Fehler.
        if ($errorNumber === CURLE_WRITE_ERROR && $status > 0) {
@@ -64,7 +64,6 @@ final class LogoStoreTest extends TestCase
        ob_start();
        imagepng($image);
        $data = (string) ob_get_clean();
-        imagedestroy($image);

        return $data;
    }
@@ -87,8 +87,8 @@ final class PunycodeTest extends TestCase
     */
    private static function encodeWithoutIntl(string $host): string
    {
+        // Kein setAccessible(): seit PHP 8.1 wirkungslos, seit 8.5 veraltet.
        $method = new \ReflectionMethod(Punycode::class, 'encodeLabel');
-        $method->setAccessible(true);

        $labels = array_map(
            static fn (string $label): string => (string) $method->invoke(null, $label),
@@ -159,6 +159,5 @@ final class QrRendererTest extends TestCase
        self::assertNotFalse($image);
        imagefill($image, 0, 0, (int) imagecolorallocate($image, 255, 0, 0));
        imagepng($image, $path);
-        imagedestroy($image);
    }
 }