PHP RFC: Mcrypt Extension wird ab PHP 7.2 entfernt

Ein RFC ist grob eine Abstimmung unter den PHP-Entwicklern, um neue, bestehende oder alte Feature hinzuzufügen, zu ändern, oder sie zu löschen. In der Regel werden Features oder Module, die gelöscht werden sollen, erst einmal eine Zeit lang als "Deprecate" gebrandmarkt (also als veraltet).

Aktuell betrifft das nun die oft genutzte Mcrypt Functionen in PHP. Die Extension wird in sehr vielen Projekten benutzt, ist aber seit 2007 vom ursprünglichen Entwickler-Team nicht weiter gepflegt oder entwickelt worden.

Es wurde daher mit einem Ergebnis von 23 zu 6 für das Entfernen der Mcrypt Extension abgestimmt. Damit wird mcrypt nach über einem Jahrzehnt ab Version 7.1 als "Deprecate" markiert und ab Version 7.2 (oder dann 8.0) komplett entfernt.

Siehe dazu auch den kompletten RFC inkl. Erklärungen und Abstimmung: https://wiki.php.net/rfc/mcrypt-viking-funeral

Für PHP-Entwickler heißt das konkret:

• Sucht euch ab sofort für neue Projekte eine Alternative für Mcrypt, solltet ihr die kryptographische Funktionen in eurem Code brauchen.
• Solltet ihr Mcrypt bereits benutzen, werden je nach Einstellungen ab Version 7.1 Fehlermeldungen im Logfile dazu erscheinen und ab PHP 7.2 (oder 8) wird die Extension nicht mehr funktionieren. Fangt also langsam an, die Umstellung mit in euren Zeitplan aufzunehmen.

Mögliche Alternativen für Mcrypt sind:

• Für Passwörtes wären das crypt oder password_hash
• Für Verschlüsselung wäre das die OpenSSL Extension

Wer weitere Alternativen kennt, kann diese hier gerne hinzufügen. Evtl wird es auch noch eine Auslagerung hin zum PECL Modul geben. Bisher gibt es dazu aber noch keinen RFC oder Entwickler, der dass wirklich machen möchte. Daher sollte man Mcrypt lieber so schnell wie möglich ersetzen.

Gruß
Frank