12년된 PHP 임시 수정코드, 2000만 설치 후 단계적 폐기 선언
원제 My temporary PHP fix from 2014 has nearly 20M installs. Today I'm deprecating it
159 포인트댓글 42
Key Point
2000만 설치 규모의 광범위 패키지 유지보수 중단이 하게 의미하는 바를 이해하기 위해, 왜 새 maintainer를 받지 않고 폐기를 선택했는지 그 배경과 보안 고려사항을 확인할 필요가 있다.
핵심 요약
- 저자가 2014년 AOL의 PHP 5.2→5.3 업그레이드 과정에서 작성한 http_build_url() 폴리필이 Packagist에서 1900만 회 설치되고 월 40만 건 이상 다운로드되고 있다.
- WPML(150만 사이트), idna-convert, SPIP 등이 직접 번들링했고, Debian과 Ubuntu에도 패키징되어 현재 실제로는 예상과 달리 훨씬 광범위하게 사용 중이다.
- 저자는 수년 전 maintainer 모집에 3명이 응했으나 개인사정으로 처리하지 못했고, 이후 경로의 마지막 'a'를 삭제하는 버그 등 미해결 이슈를 발견했다.
- PHP 8.5의 표준 URI API와 The PHP League의 URI 라이브러리 등 더 나은 대안이 나왔으므로, xz 백도어 사태처럼 새 maintainer 미검증에 따른 보안 리스크를 줄이기 위해 더 이상 유지보수하지 않기로 결정했다.
- 패키지는 계속 설치되지만 새로운 수정사항은 제공되지 않으며, 장기 미변경 코드에 대한 수정도 의도하지 않은 부작용을 야기할 수 있다고 판단했다.