Seite 9 - Monthly Archives: September 2025

Xdebug kann weit mehr, als eine Ausfuehrung an einer Zeile anzuhalten. Mit den Modi trace, profile, coverage und gcstats oeffnet Xdebug ein Analysefenster in den echten Laufzeitzustand eines PHP-Requests: Aufrufhierarchien mit Zeitstempeln, Cachegrind-Profile fuer Self-Time und Inclusive-Time, eine Coverage API fuer eigene Analysetools jenseits von PHPUnit und Garbage-Collection-Statistiken, die im Alltag komplett verborgen bleiben.

accent-color und caret-color klingen ähnlich, steuern aber völlig verschiedene Dinge: Die eine färbt native Kontrollelemente wie Checkboxen und Radios, die andere färbt nur die blinkende Schreibmarke in einem Textfeld. Wer beide gezielt einsetzt, kann ein eigenes Formular-Theme bauen, ohne jedes Kontrollelement mit appearance: none neu zu zeichnen.

Eine GraphQL-API ohne Complexity-Limit ist ein offenes Einfallstor für Overloading-Angriffe. Depth-Limits, feldspezifische Kosten und Complexity-Budgets sind die drei Schichten, die verhindern, dass eine einzige Query den Server für Sekunden beschäftigt — oder für Minuten, wenn das Schema genug teure Felder hat.

Prototype Pollution ist eine JavaScript-spezifische Schwachstellenklasse, bei der ein Angreifer über eine unsichere Objektzusammenführung Eigenschaften auf `Object.prototype` selbst schreibt statt auf das eigentlich gemeinte Zielobjekt, wodurch diese manipulierten Eigenschaften anschließend auf jedem neu erstellten Objekt der gesamten Anwendung erscheinen, oft mit gravierenden Folgen bis hin zu Remote Code Execution. Diese Schwachstelle betrifft sowohl clientseitigen Browser-Code als auch serverseitigen Node.js-Code und ist besonders tückisch, weil der auslösende Merge-Code auf den ersten Blick völlig harmlos aussieht.

hyphens: auto aktiviert automatische Silbentrennung, aber ohne Feinsteuerung trennt der Browser auch dort, wo nur ein oder zwei Zeichen vor oder nach dem Trennstrich übrig bleiben. hyphenate-limit-chars und die verwandten Limit-Properties legen fest, wie viele Zeichen ein Wort mindestens haben muss und wie viele Zeichen vor und nach der Trennstelle stehen bleiben.

Mit zunehmender Größe sammeln sich in jedem Repository lose Objekte, wachsende Pack-Dateien und ein immer teurer werdender Commit-Graph an. Der Befehl git maintenance ersetzt das grobe, gelegentliche git gc durch mehrere granulare, planbare Wartungsaufgaben, die im Hintergrund laufen, ohne die tägliche Arbeit zu stören.

Server Side Rendering liefert schnell sichtbaren Inhalt, aber Hydration macht diesen Inhalt oft erst mit Verzögerung interaktiv. Lazy Hydration verschiebt genau diese Verzögerung dorthin, wo sie niemand bemerkt: auf Komponenten, die noch gar nicht sichtbar sind oder gerade nicht gebraucht werden.

Docker Scout ist ein in Docker Desktop und die Docker-CLI integriertes Analyse-Tool, das CVEs in Images aufzeigt, Empfehlungen fuer schlankere Base-Images gibt und sich ohne separate Tool-Installation in den taeglichen Workflow einbinden laesst.

Ein Symlink-Rollback reicht nicht immer. Wenn Datenbankmigrationen Teil des Deployments sind, muss ein aktuelles DB-Backup existieren – bevor der erste Migrationschritt ausgeführt wird, nicht danach.

Architekturregeln, die nur in Dokumenten existieren, werden gebrochen. Mit PHPUnit, PHP-Arch und der Reflection API lassen sich Schichtengrenzen, Modulabhängigkeiten und Designregeln als ausführbare Tests formulieren – die sofort anschlagen, wenn eine Klasse die falsche Schicht aufruft oder ein Modul eine verbotene Abhängigkeit einführt.