PHP 8.4 是面向现代应用建模的关键演进，引入属性钩子、只读类、不对称可见性、链式调用免括号及新 DOM/字符串函数；升级前须规避已移除函数、类型刚性增强、readonly 行为硬化与反序列化收紧等高危兼容问题。
PHP 8.4 不是小修小补，而是面向现代应用建模的一次关键演进。它在语法表达力、数据安全性、开发体验上都有实质性突破，但升级前若忽略几类关键变更，旧项目极可能在访问时直接报 500 错误。
核心新特性：不只是语法糖
这些特性已进入主流框架和工具链支持范围，不是“未来可期”，而是当前可用：
-
属性钩子（Property Hooks）：在属性声明中直接写 get/set 逻辑，替代冗余的 getter/setter 方法。例如
public string $fullName { get => $this->firstName . ' ' . $this->lastName; }，IDE 可识别、静态分析能推导、运行时自动触发。 -
只读类（readonly class）：整类实例化后所有属性（含动态添加）不可变。声明为
readonly class Config { public string $host; }后，任何赋值、反射写入、__set都抛Error（无法被try/catch捕获）。 -
不对称可见性：独立控制读写权限，如
public private(set) string $slug;表示外部可读、仅类内可写，无需额外方法封装。 -
链式调用免括号：支持
new MyClass()->method1()->method2()，省去冗余的空括号，提升构造即用场景的流畅度。 -
新 DOM 和字符串函数：新增
\Dom\HTMLDocument原生支持 HTML5；mb_ucfirst()、mb_trim()等补齐多字节处理短板；array_find()、array_find_key()替代手写循环。
升级前必须检查的高危兼容性问题
很多项目上线失败，不是因为用了新特性，而是旧代码撞上了 PHP 8.4 更严格的语义约束：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
-
已移除函数调用即致命：
mysql_*全系列、create_function()、each()、call_user_method()等彻底消失，必须替换为PDO、匿名函数或foreach。 -
类型返回更刚性：
__toString()必须显式return string；array_key_exists()第二个参数必须是数组，传null或对象会抛TypeError。 - readonly 属性行为硬化：8.4 下构造后直接赋值、反射强制写入、序列化后修改均失败。若 DTO 或缓存层依赖运行时改值，需重构逻辑。
- 反序列化限制收紧：
unserialize()的allowed_classes默认行为变更，未显式声明白名单时更保守，易导致反序列化失败。
安全与支持周期不能忽视
这不是“选不选”的问题，而是“拖不得”：
立即学习“PHP免费学习笔记（深入）”；
- PHP 8.4 获得活跃支持至 2026年12月31日，安全支持延续到 2028年12月31日。
- PHP 8.2 及更早版本已在 2026 年底正式 EOL；8.3 仅剩安全修复。继续使用意味着无补丁 CVE 风险，等保、PCI DSS 审计无法通过。
- 2026年10月发布的
PHP 8.4.27修复了两个 CVSS 4.0 评分为 9.2 的严重漏洞（CVE-2026-109618 / CVE-2026-109619），官方明确表示“无临时缓解措施，更新是唯一安全选择”。
实用建议：从哪开始动手
别一上来就全量替换，按节奏分步推进：
- 先用
phpstan或phpcs扫描代码，聚焦Deprecated和类型不匹配警告； - 重点检查数据库连接、模板渲染、序列化/反序列化、第三方 SDK 回调等高频出错模块；
- 在 CI 中加入 PHP 8.4 运行环境，让测试用例提前暴露隐性冲突；
- 对关键 DTO 类逐步尝试
readonly class声明，验证不可变性是否符合业务预期。
