PHP 基金会坦言资金不足、仅 1 名全职员工：还在跑 PHP 的网站该怎么自查

PHP 基金会负责人近日公开表示，基金会目前资金不足，全职员工只有 1 名。这条消息在开发者社区引发了不少讨论——毕竟 PHP 依然支撑着互联网上相当大比例的网站，包括大量的 WordPress、Discuz、各类 CMS 和独立站。

一、这条消息意味着什么

先说清楚：这不代表 PHP 要停止维护。PHP 仍然按既定节奏发布版本，安全修复也仍在进行。但它确实反映出一个现实——相比动辄融资数亿的 AI 项目，基础设施级别的开源语言，获得的资金支持与其使用规模严重不匹配。

对使用者的直接启示是：不要假设”有人会永远帮你兜底”。版本生命周期、安全补丁、生态维护，需要自己盯。

二、先搞清楚你跑的是哪个版本

登录服务器，执行：

php -v

如果面板里跑的 PHP，也可以在宝塔等面板的”软件商店 → PHP”里看到已安装的多个版本。

判断标准很简单：

• PHP 7.4 及更早：已结束官方支持，不再有安全修复，属于必须处理的高风险状态；
• PHP 8.0 / 8.1：8.0 已 EOL，8.1 也已进入仅安全修复或结束阶段，建议尽快规划升级；
• PHP 8.2 及以上：仍处于活跃维护期，属于相对安全的选择。

三、升级前的四个准备工作

1. 备份，且要能验证

网站文件打包、数据库导出，并确认备份文件能正常解压、数据库能正常导入。只备份不验证，等于没备份。

2. 记录当前扩展清单

php -m

把扩展列表存下来。升级后如果缺了某个扩展（比如 bcmath、intl、redis），网站会直接白屏或报错。

3. 逐个检查兼容性

老代码在 PHP 8 上最常见的三类问题：

• 动态属性弃用：8.2 起对未声明属性赋值会告警，需要加 #[AllowDynamicProperties] 或用显式属性；
• 字符串与数字比较规则变化：8.0 起 "abc" == 0 不再为 true，很多老逻辑会因此出错；
• 已移除的函数：如 create_function、each、部分 mbstring 别名等。

4. 分环境灰度

不要直接在线上切版本。用面板的”切换 PHP 版本”功能，先在小流量站或测试目录验证，确认无报错再推到主站。

四、安全层面的补强

即使暂时不能升版本，也可以先把风险压下来：

• 关闭 display_errors，避免报错信息暴露路径和版本号；
• 限制 disable_functions，禁掉 exec、system、passthru 等敏感函数；
• 上传目录禁止执行 PHP；
• 定期用面板的漏洞扫描或 composer audit 检查第三方依赖。

五、写在最后

开源项目的资金问题，最终会以”维护变慢”的形式传导到每一个使用者身上。没人能替你保证某个语言、某个框架的长期安全，能做的就是把版本管起来、把补丁跟上、把备份做好。

这三件事做完，PHP 基金会剩几个人，其实对你的影响就没那么大了。