Curl 8.9.0 重磅發(fā)布：260 個(gè)錯(cuò)誤修復(fù)和多項(xiàng)改進(jìn)

瑞典開源開發(fā)者 Daniel Stenberg 宣布發(fā)布 Curl 8.9.0 版本，這是該項(xiàng)目發(fā)展史上的一個(gè)重要里程碑。此版本包含驚人的 260 個(gè)錯(cuò)誤修復(fù)、11 項(xiàng)更改和 2 個(gè)安全修復(fù)。

目錄

• 安全增強(qiáng)
• 新功能
• 改進(jìn)
  • 新選項(xiàng)
• 重要的錯(cuò)誤修復(fù)
• 下載和安裝 Curl 8.9.0
• 展望未來：Curl 8.10.0

Curl 8.9.0 版本統(tǒng)計(jì)

Curl 是開源生態(tài)系統(tǒng)中最古老和最成熟的軟件之一。

Curl 8.9.0 是該軟件的第 258 個(gè)版本，展示了該項(xiàng)目對(duì)改進(jìn)和創(chuàng)新的持續(xù)承諾。

新版本包含 11 項(xiàng)更改和令人印象深刻的 260 個(gè)錯(cuò)誤修復(fù)，為該項(xiàng)目創(chuàng)下了記錄。這些改進(jìn)來自 80 位貢獻(xiàn)者（包括 38 位新手）的 423 次提交。此版本還收到了 47 位作者的貢獻(xiàn)，其中 16 位是首次貢獻(xiàn)者，這展示了該項(xiàng)目不斷壯大的社區(qū)。

這使得貢獻(xiàn)者的總數(shù)達(dá)到令人印象深刻的 3209 位，迄今為止已有 1288 位作者為該項(xiàng)目做出了貢獻(xiàn)。

以下是 Curl 8.9.0 版本統(tǒng)計(jì)的簡(jiǎn)要總結(jié)：

• 第 258 個(gè)版本，
• 實(shí)施了 11 項(xiàng)更改，
• 添加了 260 個(gè)錯(cuò)誤修復(fù)，
• 進(jìn)行了 423 次提交，
• 80 位貢獻(xiàn)者，包括 38 位新手，
• 47 位作者，其中 16 位是首次貢獻(xiàn)者。

安全增強(qiáng)

安全仍然是 Curl 的首要任務(wù)。8.9.0 版本解決了 兩個(gè)漏洞: CVE-2024-6197 和 CVE-2024-6874。這些修復(fù)進(jìn)一步增強(qiáng)了 Curl 的安全特性。

第一個(gè)漏洞，CVE-2024-6197，是 ASN1 解析器中的一個(gè)中等嚴(yán)重性問題。此漏洞涉及在 utf8asn1str 函數(shù)中釋放堆棧緩沖區(qū)。

當(dāng) utf8asn1str 函數(shù)檢測(cè)到無效字段并返回錯(cuò)誤時(shí)，libcurl 的 ASN1 解析器中會(huì)出現(xiàn)此問題。不幸的是，它還會(huì)在 4 字節(jié)的局部堆棧緩沖區(qū)上調(diào)用 free()。

第二個(gè)漏洞，CVE-2024-6874，是一個(gè)與 URL API 中的 punycode 轉(zhuǎn)換相關(guān)的低嚴(yán)重性問題。

此問題出現(xiàn)在 libcurl 的 URL API 函數(shù) curl_url_get() 中，該函數(shù)提供 punycode 到 IDN 的轉(zhuǎn)換。當(dāng)轉(zhuǎn)換正好為 256 字節(jié)的名稱時(shí)，當(dāng)構(gòu)建為使用 macidn IDN 后端時(shí)，libcurl 會(huì)讀取堆棧緩沖區(qū)之外的內(nèi)容。然后，轉(zhuǎn)換函數(shù)會(huì)完全填充提供的緩沖區(qū)，但不會(huì)以 null 結(jié)尾。

新功能

Curl 8.9.0 引入了幾個(gè)新的命令行選項(xiàng)來增強(qiáng)其功能。用戶現(xiàn)在可以使用 --ip-tos 選項(xiàng)設(shè)置 IP 服務(wù)類型/流量類別。

--mptcp 選項(xiàng)啟用多路徑 TCP 連接，這可能會(huì)提高網(wǎng)絡(luò)性能。

對(duì)于本地網(wǎng)絡(luò)管理，--vlan-priority 選項(xiàng)允許設(shè)置 IP 流量的 VLAN 優(yōu)先級(jí)字段。

最后，--keepalive-cnt 選項(xiàng)允許用戶指定在將連接標(biāo)記為失效之前的 keepalive 探測(cè)次數(shù)。

改進(jìn)

此更新為 Curl 的功能帶來了各種增強(qiáng)。GnuTLS 和 WolfSSL 現(xiàn)在都支持 CA 緩存，這可以顯著加快串行 TLS 連接的速度。

MbedTLS 添加了對(duì) CURLOPT_CERTINFO 的支持，允許應(yīng)用程序檢索證書信息。

URL API 引入了 CURLU_NO_GUESS_SCHEME 以更好地進(jìn)行方案檢測(cè)。此外，用戶現(xiàn)在可以同時(shí)將連接綁定到接口和 IP，從而在網(wǎng)絡(luò)配置中提供更大的靈活性。

新選項(xiàng)

Curl 8.9.0 引入了一個(gè)新的 curl_easy_setopt() 選項(xiàng)和四個(gè)新的命令行選項(xiàng)。這些新增功能擴(kuò)展了 Curl 的功能，為用戶提供了更多工具和靈活性。

重要的錯(cuò)誤修復(fù)

此版本包含創(chuàng)紀(jì)錄的 260 個(gè)錯(cuò)誤修復(fù)，這是 Curl 長期歷史上最多的一次。這些改進(jìn)涵蓋了各個(gè)領(lǐng)域，包括對(duì) CMake 和配置腳本的許多增強(qiáng)。

文檔和幫助功能已得到改進(jìn)，以提供更好的用戶體驗(yàn)。團(tuán)隊(duì)解決了 DNS over HTTPS (DoH) 實(shí)現(xiàn)中的內(nèi)存泄漏和崩潰問題。

HTTPS、QUIC 和 TLS 連接的處理得到了改進(jìn)。此版本還包括對(duì)各種操作系統(tǒng)和 SSL 庫的更好支持，使 Curl 在不同平臺(tái)上更加通用。

以下是此版本中一些重要的錯(cuò)誤修復(fù)：

• cmake: 26 個(gè)單獨(dú)的錯(cuò)誤修復(fù)。
• configure: 10 個(gè)單獨(dú)的錯(cuò)誤修復(fù)。
• 幫助類別清理: 通過列出類別和清理演示文稿來改進(jìn) --help 輸出。
• 3xx 回復(fù): 允許 3xx 回復(fù)的 etag 和 content-disposition。
• 文檔: 無數(shù)的修復(fù)、潤色和更正。
• 測(cè)試摘要: 在摘要中顯示失敗測(cè)試的名稱和關(guān)鍵字。
• GetAddrInfoExW: 避免與模擬一起使用。
• AWS Sigv4: URL 編碼規(guī)范路徑。
• DoH (DNS over HTTPS): 包括清理、內(nèi)存泄漏解決和零長度 HTTPS RR 崩潰修復(fù)的各種修復(fù)。
• AppleIDN: 修復(fù)了 ? 的處理。
• OpenSSL 1.x: 修復(fù)了禁用 md4 的編譯問題。
• 進(jìn)度更新: 在連接失敗時(shí)添加了最終進(jìn)度更新。
• Multi: 在 RESOLVING 階段修復(fù)了 pollset。
• QUIC: 啟用了 UDP GRO 并添加了關(guān)閉支持，現(xiàn)在需要 OpenSSL 3.3。
• 輸入轉(zhuǎn)換: 修復(fù)了輸入的 CRLF 轉(zhuǎn)換。
• SMTP: 修復(fù)了 SMTP 的 starttls。
• TCP keepalive: 在 DragonFly BSD 上從毫秒更改為秒，并在 Solaris 上支持參數(shù)
• TLS 和 TCP: 改進(jìn)了關(guān)閉。
• GnuTLS: 在檢查證書時(shí)傳入 SNI 名稱而不是主機(jī)名，并糾正了 QUIC 的 TLS 版本檢查。
• mbedTLS v3.6.0: 添加了解決方法。
• X509 ASN.1 解析器: 多個(gè)修復(fù)。

憑借眾多錯(cuò)誤修復(fù)、新選項(xiàng)和安全增強(qiáng)功能，此版本確保 Curl 仍然是強(qiáng)大的可靠數(shù)據(jù)傳輸工具。

下載和安裝 Curl 8.9.0

您始終可以從 curl.se 下載新的 Curl 版本。由于此版本是新的，因此尚未為大多數(shù) Linux 發(fā)行版打包。但不用擔(dān)心。您可以使用 GNU Stow 從源代碼安裝最新的 Curl。

1. 確保您的系統(tǒng)軟件包數(shù)據(jù)庫是最新的。

<code>sudo apt update   # Debian/Ubuntu 系統(tǒng)
sudo yum update   # CentOS/RHEL 系統(tǒng)
sudo dnf update   # Fedora 系統(tǒng)
sudo pacman -Syu  # Arch Linux 系統(tǒng)</code>

2. 如果尚未安裝必要的 開發(fā)工具，請(qǐng)安裝它們。

<code>sudo apt install build-essential   # Debian/Ubuntu
sudo yum groupinstall "Development Tools"   # CentOS/RHEL
sudo dnf groupinstall "Development Tools"   # Fedora
sudo pacman -S base-devel   # Arch Linux</code>

如果您想使用 OpenSSL 后端編譯 Curl，您還需要安裝 OpenSSL 開發(fā)庫。例如，在基于 Debian 的系統(tǒng)上，您可以使用以下命令安裝 OpenSSL 開發(fā)庫：

<code>sudo apt install libssl-dev</code>

如果您想使用 GnuTLS 后端編譯 Curl，請(qǐng)?jiān)诨?Debian 的系統(tǒng)上安裝以下內(nèi)容：

<code>sudo apt install libgnutls28-dev libgnutls30</code>

3. 安裝 GNU Stow。

<code>sudo pacman -S stow     # Arch Linux
sudo apt install stow   # Debian/Ubuntu
sudo yum install stow   # 舊版 CentOS/RHEL
sudo dnf install stow   # 最新 Fedora/RHEL/AlmaLinux/Rocky Linux</code>

4. 從其官方 releases 頁面下載最新的 Curl 源代碼并解壓縮。

<code>wget https://github.com/curl/curl/releases/download/curl-8_9_0/curl-8.9.0.tar.gz
tar xvf curl-8.9.0.tar.gz</code>

5. 使用前綴配置構(gòu)建。

進(jìn)入解壓縮的目錄：

<code>cd curl-8.9.0</code>

使用 TLS 后端和安裝目錄配置構(gòu)建，以便由 GNU Stow 管理。

<code>./configure --with-ssl --prefix=/usr/local/stow/curl-8.9.0</code>

如果您想使用 GnuTLS 配置 Curl，請(qǐng)改用以下命令：

<code>./configure --with-gnutls --prefix=/usr/local/stow/curl-8.9.0</code>

6. 編譯軟件。

<code>make</code>

7. 安裝 Curl 8.9.0

<code>sudo make install</code>

8. 使用 GNU Stow 將 Curl 添加到您的 PATH。

更改為 stow 目錄并使用 stow 管理安裝。

<code>cd /usr/local/stow
sudo stow curl-8.9.0</code>

9. 驗(yàn)證 Curl 是否已正確安裝并可用。

<code>curl --version</code>

示例輸出:

<code>curl 8.9.0 (x86_64-pc-linux-gnu) libcurl/8.9.0 GnuTLS/3.7.1 zlib/1.2.11 libidn2/2.3.0
Release-Date: 2024-07-24
Protocols: dict file ftp ftps gopher gophers http https imap imaps ipfs ipns mqtt pop3 pop3s rtsp smb smbs smtp smtps telnet tftp
Features: alt-svc AsynchDNS HSTS HTTPS-proxy IDN IPv6 Largefile libz NTLM SSL threadsafe TLS-SRP UnixSockets</code>

展望未來：Curl 8.10.0

由于 Curl 8.9.0 的發(fā)布周期延長，開發(fā)者表示下一個(gè)版本 8.10.0 將縮短周期。

他還補(bǔ)充說，Curl 8.10.0 的功能窗口只有兩周，這可能會(huì)影響可以合并的新功能和更改的數(shù)量。

盡管如此，仍有大量待合并的請(qǐng)求請(qǐng)求正在等待發(fā)布窗口打開。

如果一切順利，Curl 8.10.0 預(yù)計(jì)將于 2024 年 9 月 11 日 發(fā)布。即將發(fā)布的版本將延續(xù) Curl 著稱的改進(jìn)和創(chuàng)新傳統(tǒng)。

更多詳細(xì)信息，請(qǐng)查看官方發(fā)行說明：

• Curl 8.9.0 發(fā)行說明

相關(guān)閱讀:

• Wcurl：一個(gè)用戶友好的 Curl 包裝器，用于輕松下載文件
• Debian Curl 現(xiàn)在支持 HTTP3：您需要了解的內(nèi)容
• 如何在 Debian 中使用 GnuTLS 后端安裝 Curl

請(qǐng)注意，圖片的格式保持不變，因?yàn)槲覜]有修改輸入文本中圖片的格式信息。 我使用了類似的標(biāo)題和描述來保持文章大意不變。

以上是Curl 8.9.0發(fā)布：新功能，錯(cuò)誤修正以及如何安裝的詳細(xì)內(nèi)容。更多信息請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！