Am 22. Mai 2025 um 14:40 Uhr CEST haben wir die PHP Standard-Konfiguration sämtlicher Hostings limeBASIC/limePRO (sowohl auf Shared Hosting, als auch auf limeDEDICATED Server) angepasst. Aus Sicherheitsgründen wurde zend.exception_ignore_args in allen PHP-Versionen aktiviert:

; Excludes arguments from stack traces generated from exceptions.
zend.exception_ignore_args = On

Diese php.ini Setting ist auch bei grossen Cloud-Anbietern wie Forge oder LaravelCloud standardmässig aktiviert. Du kannst dies jederzeit via PHP Manager in userem Controlpanel anpassen und dort zend.exception_ignore_args wieder deaktivieren.

Diese Einstellung lässt sich auch jederzeit via init_set() zu Laufzeit übersteuern.

Die Auswirkungen im stack trace lässt sich via folgendes Script testen:

<?php
ini_set('zend.exception_ignore_args', true);

function foo(string $arg1, array $arg2, #[SensitiveParameter] string $password) {
    bar($arg1);
}

function bar(string $value) {
    throw new Exception("Test exception");
}

try {
    foo('secret1', ['top_secret' => 'data'], '50m3Pa55w0rd');
} catch (Throwable $e) {
    echo $e;
}

Stack trace bei aktivierter zend.exception_ignore_args:

Exception: Test exception in www/demo.php:11
Stack trace:
#0 public_html/www/demo.php(7): bar()
#1 public_html/www/demo.php(15): foo()
#2 {main}

vs. Stack trace bei deaktivierter zend.exception_ignore_args:

Das #[SensitiveParameter] Attribute verhindert selbst hier das Exponieren des $password!

Exception: Test exception in www/demo.php:11
Stack trace:
#0 public_html/www/demo.php(7): bar('secret1')
#1 public_html/www/demo.php(15): foo('secret1', Array, Object(SensitiveParameterValue))
#2 {main}

Ab PHP 8.2+ empfehlen wir bei allen sensitiven Parametern (Passwörter, Tokens, API keys, Hashes,...) immer das #[SensitiveParameter] Attribute zu verwenden. Aber oft ist das selbst bei grossen Frameworks wie Laravel, die sehr hohe Anforderungen an die Sicherheit stellen, nicht durchgängig realisiert.