使用APC来保护PHP代码

CFC4N

问题就那么发生了:
PHP的项目在生产服务器运行时，基本都是明文的文件，如果要保护代码的话，多数使用商业的加密软件，比如Zend Guard或者其他软件。zend也就是php程序语言Zend Engine语法分析引擎的公司出品。该产品会对php代码进行加密转换，费用大约是$600每年（大约4000人民币），按照公司授权。zend guard收费倒不是主要问题，如果单单购买加密功能的话，项目性能会奇差，相信很多朋友都遇到了，尤其是webgame中，刚开服时，几乎都是cpu 100%，load 奇高。使用时，需要服务端在装一个解密的程序，每个脚本文件，在每次被访问时，都需要解码、验证授权。这种繁琐的步骤，无疑浪费了时间、系统资源，也是我们一个项目当初在“友好邻邦”服务器上出现超高占用CPU的原因。(OS load占用高达100倍)

这些都是些什么玩意:
这产品是加密，如果想要程序执行流程优化的话，Zend又很“周到”的为我们提供另外一款产品 Zend Server，每年只需要最低支付$1695美元（大约11000人民币）（其他黄金版、白金版需要上万美元）。。。这样一来，我们的产品被绑架在zend上，如果我们需要定制功能的话，那是不可想象的。 如果是zend产品有bug，那我们只能干等着，等他们解决。除了zend这款，还有另外一款代码加密产品：ioncube，费用倒是不高，大约400美元每年。但用户量少，产品是否稳定不清楚，不开源，社区支持不是很好。

找寻:
有没有一款可以保护代码，社区支持好，用户量大，反馈处理及时，费用低的产品吗？ 幸运的是，有这么一款开源产品APC：http://pecl.php.net/package/APC Alternative PHP Cache (APC)是一款php代码加速产品，该产品作为php程序的一个拓展，是一个开放自由的PHP opcode 缓存。它的目标是提供一个自由、 开放，和健全的框架用于缓存和优化PHP的中间代码。

早在3-4个月之前，鸟哥博客上一篇文章《关于PHP的编译和执行分离》中提到APC来作为PHP代码保护的方案。从文中可以看出，鸟哥的想法是每个php文件，导出一个opcode 的bin文件，加载时，也是挨个加载，这样也实现了代码保护，但一个项目几百个php文件的话，也得相应存在几百个bin文件，量比较大，操作比较复杂，管理不方便，不好做版本验证(以后会提到)。末学比较倾向于单个bin文件的导出，单个opcode bin文件的加载。而且，单个bin文件的加载，可以避免项目中出现部分文件跟整体版本不一致的情况发生，运维同事再也不用担心个别文件跟整个项目版本不一致的情况了。

原来是你:
APC是替换了php zend引擎的zend_compile_file函数，来决定是否重新对php脚本文件的读取，扫描、解释、编译等步骤。启用apc之后，将跳过读取、扫描、解释、编译这几步，节省内存、CPU开销，直接执行OPCODE。Apc还提供对php源码的opcode的缓存，导出到一个二进制文件中，还提供加载这个二进制文件。起初，我们开始使用这个功能时，遇到该拓展的多个BUG，都已经提交到php官方，分别是： BUG #62757 、BUG #62765 、BUG #62825 ，并积极配合php内核组开发成员重现BUG，抓获coredump，提取bug demo代码，在PHP官方成员-APC拓展开发组长Xinchen Hui(以下称鸟哥 laruence)的帮助下，很快的修复了这些BUG 。

如此繁琐:
这样仍存在一个繁琐的步骤，即php-fpm每次启动时，没有自动加载bin文件，需要管理员去手动执行或者访问脚本，（该脚本内使用apc_bin_load/apc_bin_loadfile函数去加载bin文件）让php-fpm加载bin文件，对于单大区多台前端，以及单服务器运行多个php-fpm主进程来说，如何判断那个php-fpm主进程是否成功加载，这是个很麻烦的问题。对于程序执行opcode清除之后，又需要再次加载，这样是个非常复杂繁琐的过程，也容易出问题。

自力更生:
可否在fpm启动时，自动加载bin的功能呢？末学阅读了APC的源码，照葫芦画瓢的添加了自动加载的opcode bin文件的功能。
我们是在 APC SVN http://svn.php.net/viewvc/pecl/apc/trunk/ 的 r327454版本基础上，在apc_module_init函数中，模块初始化时，增加了opcode bin文件的自动加载功能，patch代码见：https://github.com/cfc4n/cnxct/blob/master/apc_r327454_add_preload_binfile.patch 。有兴趣的朋友可以git使用下。当然，末学水平有限，难免存在BUG，还请见谅。

后来，末学将此patch提交到PHP官方，请他们审核一下，是否可以收入apc官方中，免得我们以后都一直作为patch来使用。或者协助完善，或者给出更好的解决办法。
很伤心，未被采纳，原因是这是小众的需求。但末学表示不解，那apc_preload_path这个自动加载user cache的功能不也是小众需求吗？或许，这是他们委婉的拒绝方式。
(同时，还发现了APC自带的一个未公布的功能，自动加载user cache的功能，配置项为apc.preload_path，配置的值是目录地址，目录下可有多个文件，这些文件也应该是apc_bin_dump/apc_bin_dumpfile函数导出的user cache。看来，官方也有这么个打算。但为何没有实现 opcode bin文件 的自动加载呢？)

如何使用:

        opcode bin文件导出与导入：

导出的php脚本，末学提供一份，需要的朋友，可以参照修改一下即可：
https://github.com/cfc4n/cnxct/blob/master/apc_dump.php
导出成功后，会在PROJECTROOT目录下面生成一个dumproot目录，dumproot目录中的所有文件，就是你需要上传到生产服务器上的文件。bin目录中，会生成两个文件，一个是opcode的bin文件，一个是生成之前的php文件的md5 hash值。其他目录就是项目被保护的目录，目录中文件都是空的php文件。将dumproot目录上传至生产服务器，保持项目路径正确，重启fpm即可。可通过apc拓展源码包内的apc.php查看被缓存文件数。如图：

        版本更新、回滚：

遇到bug需要修复时，只需要在opcode bin文件导出服务器上，重新导出一个bin文件，将此bin文件上传到生产服务器，替换到之前的bin文件即可。偶尔会遇到项目因种种原因，需要对项目进行回滚，如果使用我们的方案之后，会发现所有php文件都已经是空的了。而我们的回滚更方便，只需要将之前需要回滚的版本的bin文件，替换到当前的文件即可。或者更改php.ini中apc.preload_binfile的路径。

        版本检测

当怀疑个别文件不是某个版本的程序是，怎么办呢？apc提供了另外一个参数 apc.file_md5来存储被cache文件的md5 hash。但当使用已到处的opcode bin文件时，apc却没有重新抓去md5 hash，也没有重新存入apc中，导致我们看到的md5值是个错误的hash值。为此，末学斗胆做了修改，并提供了patch，且提交该BUG #63491到pecl apc官方，斗胆请官方采纳。当打上该patch之后，您可以在apc.php 看到这些信息。并且，跟导出bin文件时，生成的md5 hash文件中校对以确认哦。(2012/12/17 更新，官方已修复)
批量检测也是可以的，参加末学另一个脚本：https://github.com/cfc4n/cnxct/blob/master/check.php

APC其他已知bug：

一、php5.4.x中，class中的array()静态成员属性在跨服务器使用时，产生core，已经提交到 BUG #63636(此bug由recoye发现)
临时解决方案如下：

    1. 使用php5.4.x时，不要在class中定义 $_user = array(),直接定义为 $_user;
    2. 不要使用php5.4.x
    3. 删除或注释apc_compile.c的1992、2003行(apc 3.1.13),即 zval_ptr_dtor(&src->default_static_members_table[i]); 字样的代码。
    4. 等待PHP官方解决，或微博@鸟哥，催鸟哥解决

二、web访问apc_dump.php 去生成的bin文件，在cli模式下使用时，会在RSHUTDOWN时，即请求结束时，回收系统资源时，会产生core。(该结果的php版本为php5.3.x,初步确认为上一个bug有密切关系，暂未提交至bugs.php.net)
这两个bug以末学的理解来看，与末学的patch无关，为apc的bug。

注意事项：

  • 导出bin文件的服务器上，不要开启 apc.preload_binfile ,避免bin文件存在时，使用bin文件内的代码，而不使用php文件内的代码，导致导出的代码不是你想要的。
  • php5.4.x class中array 静态成员以及属性
  • 操作系统32bit、64bit的导出的bin文件不能相互乱用。(乱用将产生core)
  • 导出服务器的web路径跟目标生产服务器的web路径一致
  • 生产服务器使用bin文件之后，必须存在同名的php文件，内容可以为空。
  • apc.ttl、apc.gc_ttl参数保持为0
  • apc.serializer 如果改用其他序列化函数发生问题，那么请保持为空，或者为 apc.serializer=php
  • apc.num_files_hint的值务必大于等于cache files 的数量，可以先设置大点，再通过生产服务器上观察一段时间来确认

啰嗦一下：
关于32bit\64bit服务器上导出opcode bin文件的乱用问题，将产生如下core

Program received signal SIGSEGV, Segmentation fault.
0x00002aaab0af8442 in apc_unswizzle_bd (bd=0x2aaaaaaf3798, flags=) at /home/cfc4n/APC-3.1.13/apc_bin.c:598
598             if(bd->swizzled_ptrs[i]) {
Missing separate debuginfos, use: debuginfo-install glibc-2.12-1.80.el6_3.6.x86_64 libxml2-2.7.6-8.el6_3.3.x86_64 nss-softokn-freebl-3.12.9-11.el6.x86_64 zlib-1.2.3-27.el6.x86_64
(gdb) bt
#0  0x00002aaab0af8442 in apc_unswizzle_bd (bd=0x2aaaaaaf3798, flags=) at /home/cfc4n/APC-3.1.13/apc_bin.c:598
#1  apc_bin_load (bd=0x2aaaaaaf3798, flags=) at /home/cfc4n/APC-3.1.13/apc_bin.c:887
#2  0x00002aaab0ae829b in zif_apc_bin_loadfile (ht=, return_value=0x2aaaaaaf1f88, return_value_ptr=, this_ptr=, return_value_used=)
    at /home/cfc4n/APC-3.1.13/php_apc.c:1549
#3  0x00000000006ef31a in zend_do_fcall_common_helper_SPEC (execute_data=) at /home/cfc4n/php-5.4.8/Zend/zend_vm_execute.h:642
#4  0x00000000006dca10 in execute (op_array=0x2aaaaaaf16a8) at /home/cfc4n/php-5.4.8/Zend/zend_vm_execute.h:410
#5  0x0000000000676f7e in zend_execute_scripts (type=8, retval=0x0, file_count=3) at /home/cfc4n/php-5.4.8/Zend/zend.c:1309
#6  0x000000000061c7ce in php_execute_script (primary_file=0x7fffffffe2a0) at /home/cfc4n/php-5.4.8/main/main.c:2482
#7  0x000000000071c763 in do_cli (argc=2, argv=0x7fffffffe6a8) at /home/cfc4n/php-5.4.8/sapi/cli/php_cli.c:988
#8  0x000000000071ce64 in main (argc=2, argv=0x7fffffffe6a8) at /home/cfc4n/php-5.4.8/sapi/cli/php_cli.c:1364
(gdb) f 0
#0  0x00002aaab0af8442 in apc_unswizzle_bd (bd=0x2aaaaaaf3798, flags=) at /home/cfc4n/APC-3.1.13/apc_bin.c:598
598             if(bd->swizzled_ptrs[i]) {
(gdb) l
593         bd->crc = crc_orig;
594
595         UNSWIZZLE(bd, bd->entries);
596         UNSWIZZLE(bd, bd->swizzled_ptrs);
597         for(i=0; i < bd->num_swizzled_ptrs; i++) {
598             if(bd->swizzled_ptrs[i]) {
599                 UNSWIZZLE(bd, bd->swizzled_ptrs[i]);
600                 if(*bd->swizzled_ptrs[i] && (*bd->swizzled_ptrs[i] < (void*)bd)) { 601                     UNSWIZZLE(bd, *bd->swizzled_ptrs[i]);
602                 }

因为long之类类型，在不同bit操作系统上的长度不一致导致内存越界的BUG。 末学不知道这算不算bug，或者您别混用，或者APC程序上也可以解决…

惊喜：
不光可以代码保护，性能提升，方便运维，还可以防黑客入侵哦。(项目目录不允许创建新文件，那么即使黑客改了php脚本，php仍会去apc里读，也不会去读取它。哪怕黑客执行了 apc_cache_clean清除opcode cache，我们的补丁仍会自动加载，那么黑客的行为还是阻拦了。)

备注：
此patch已经在我们的“友好邻邦”服务器上稳定运行3-4个月左右，无异常案例，各位可放心使用。
Apc不算一个php encoder，算是个cache，一个opcode cache，起到中间码缓存的作用，故本文中用“代码保护”，而不是“代码加密”。 但实质上实现了我们的目的，起到保护源代码的作用，那怕可以逆向，也是有一定难度的。

PS：感谢Ivon的openstack，感谢终极修炼师的协助测试。

PPS:
如果你能保证php文件不会被SAPI形式访问到的话，只会被include/require等访问到的话，甚至连同名空文件都不用放。比如单入口框架的项目，只要放个空的入口文件即可。 (感谢recoye纠正)

缓存450多个文件，命中率100%，只是20个配置文件没导出在bin文件里，导致第一次没命中。

PPPS：
更新日期:2014/10/17
近来，好多朋友问我要完整版，鉴于apc已经被官方删了，那个SVN地址无法正常checkout，故我在硬盘里找了个压缩包，应该是可用的版本，如果有其他异常，请留言，谢谢。
适用于PHP5.3的完整拓展：点击这里下载包含patch的完整版apc

知识共享许可协议CFC4N的博客 由 CFC4N 创作，采用 署名—非商业性使用—相同方式共享 4.0 进行许可。基于https://www.cnxct.com上的作品创作。转载请注明转自：使用APC来保护PHP代码

暂无相关文章

43 thoughts on “使用APC来保护PHP代码”

  2. Pingback: 关于PHP的编译和执行分离 | 5iphp
  3. Pingback: 2012壬辰年总结 | 莿鸟栖草堂
  4. Pingback: 笔记-APC/LevelDB - J.et wong's 懒人记事本
  5. Pingback: 关于PHP的编译和执行分离 | 午后小憩

  6. 很感谢你的分享，让我看到了摆脱zend guard的曙光。于是在用你的apc_dump.php windows上试验。提示“apc_bin_load string argument does not appear to be a valid APC binary dump due to size (2947 vs expected 2946)，尝试了减少生成bin的php文件，问题依旧。希望博主给予解惑。不胜感激。

  8. bin_dump的文件怎么使用呢，网上找到的代码都不够详细，手册上也没有示例。
    我的代码：
    1 被dump的文件(/www/f1.php):

    &lt;?php
    echo \’GO GO GO 03&gt; \’.chr(10);
    function dosome(){
    echo date(\’Y-m-d H:i:s\’);
    }

  9. 2 执行dump的文件（/www/f2.php）：
    &lt;?php
    $filename = \’/www/f1.php\’;
    $cache_filename = $filename.\’.bin\’;

    apc_bin_dumpfile(array($filename),null,$cache_filename);
    apc_bin_loadfile($cache_filename);

    dosome();
    echo $cache_filename.\’ loaded\’;

  10. 通过浏览器访问：
    http://aa.com/f2.php

    报错：
    PHP Fatal error: Call to undefined function dosome() in /www/f2.php on line 8

    =====================================
    求教，这个两个函数到底改如何使用？！！

  11. 因为字数限制，所以只能分3条（加这条共4条）发送了，请见谅，请从我发表的第一条看，谢谢了！

  13. 博主，我使用你的脚本导出了BIN文件，但是在对生成的空PHP文件进行访问时，什么也没有。
    还有我发现所有的BIN文件均为45个字节，无论原文件多大。求解答！谢谢了

    • hi，对空文件访问时，没任何显示的话，最好确定一下preloadfile的路径是否正确。 当执行导出之后，会把导出的文件清空的。 当你再次导出时，千万要记得，重新覆盖源文件，不然，多次导出时，会把清空后的空文件来导出的。 我猜下，你的情况应该是导出了情况后的文件。

  15. windows下面已经生成bin文件，请问怎么自动加载这些缓存的bin文件？这个问题很菜鸟，还是希望能大神点明，谢谢

    • 抱歉，这个补丁不适合win上的isapiapache2handler上做自动加载。 win上很难做以后的多webserver扩展。。。

  17. 你好 我是 5.2 + WINDOWS 2003可以用吗 我想找你弄下 钱不多能当下好人吗

  18. 你好，请问下如何打自动加载的apc补丁以及如何加载bin文件和md5文件，能否详细的写一篇文章出来呢?
    最好有图文，这样可以促进和帮助更多的人了解和熟知apc，请博主三思，感谢博主！

    • 呃，打补丁比较简单啊。有现成的patch。加载bin也简单，php.ini里的配置项指向对应路径即可。
      bin导出有点麻烦，不过，按照我提供的dump.php脚本配置一下，也很简单。

  22. 你好， 我在使用apc_bin_dumpfile函数的时候，总是会提醒我，但是有些比这个文件更大内容更多的文件却不会有这样的提醒。我是否需要配置某些apc的参数？
    Fatal error: apc_bin_dumpfile(): Exceeded bounds check in apc_bd_alloc_ex by 10 bytes. in /var/www/xtobject/www/func.php on line 45

    该行的代码为：
    $compiled = $compiled && apc_bin_dumpfile ( array($file), null, $file.’.bin’ );

    该缓存的详细资料如下：
    array(11) {
    ["type"]=>
    string(4) “file”
    ["device"]=>
    int(0)
    ["inode"]=>
    int(0)
    ["filename"]=>
    string(49) “/var/www/web/app/actions/user_server.php”
    ["num_hits"]=>
    float(0)
    ["mtime"]=>
    int(1425123147)
    ["creation_time"]=>
    int(1425123160)
    ["deletion_time"]=>
    int(0)
    ["access_time"]=>
    int(1425123160)
    ["ref_count"]=>
    int(0)
    ["mem_size"]=>
    int(28976)

  24. 太可惜了。我觉得你应该把这个写成一个通用的。不管在什么样的系统，主要用apc就很轻易实现这个。对php来说，那是革命性的突破 – “php的程序也可以编译发布！！！”。怎么php官方不考虑这种方法？？

  26. 博主，你好！
    现在APC已经有支持PHP5.5的版本了，但是我按照文中提供的两个patch进行了修改，但是还是不能加载bin文件
    现在很多服务器的PHP版本都远高于PHP5.3了，若博主方便能否提供一份支持PHP5.5的完整包。
    这是支持php5.5的APC下载地址：http://git.php.net/?p=pecl/caching/apc.git;a=snapshot;h=08e2ce7ab5f59aea483d877e2bc19bb1a5bcc34f;sf=tgz
    万分感谢！

Comments are closed.