001▲ 159 · 댓글 4212년된 PHP 임시 수정코드, 2000만 설치 후 단계적 폐기 선언저자가 2014년 AOL의 PHP 5.2→5.3 업그레이드 과정에서 작성한 http_build_url() 폴리필이 Packagist에서 1900만 회 설치되고 월 40만 건 이상 다운로드되고 있다.
오픈소스 · 도구 · My temporary PHP fix from 2014 has nearly 20M installs. Today I'm deprecating it
12년된 PHP 임시 수정코드, 2000만 설치 후 단계적 폐기 선언
Key Point
2000만 설치 규모의 광범위 패키지 유지보수 중단이 하게 의미하는 바를 이해하기 위해, 왜 새 maintainer를 받지 않고 폐기를 선택했는지 그 배경과 보안 고려사항을 확인할 필요가 있다.
핵심 요약
저자가 2014년 AOL의 PHP 5.2→5.3 업그레이드 과정에서 작성한 http_build_url() 폴리필이 Packagist에서 1900만 회 설치되고 월 40만 건 이상 다운로드되고 있다.
WPML(150만 사이트), idna-convert, SPIP 등이 직접 번들링했고, Debian과 Ubuntu에도 패키징되어 현재 실제로는 예상과 달리 훨씬 광범위하게 사용 중이다.
저자는 수년 전 maintainer 모집에 3명이 응했으나 개인사정으로 처리하지 못했고, 이후 경로의 마지막 'a'를 삭제하는 버그 등 미해결 이슈를 발견했다.
PHP 8.5의 표준 URI API와 The PHP League의 URI 라이브러리 등 더 나은 대안이 나왔으므로, xz 백도어 사태처럼 새 maintainer 미검증에 따른 보안 리스크를 줄이기 위해 더 이상 유지보수하지 않기로 결정했다.
패키지는 계속 설치되지만 새로운 수정사항은 제공되지 않으며, 장기 미변경 코드에 대한 수정도 의도하지 않은 부작용을 야기할 수 있다고 판단했다.
