Aggiornamento

Aggiornamento alla versione 3.4

La versione minima richiesta di PHP è la 8.3.

il metodo Request::isSameSite() è deprecato a favore di isFrom(), che determina l'origine della richiesta dagli header Sec-Fetch-*. La protezione automatica dei form e dei segnali diventa più precisa e cambia un comportamento: la navigazione diretta (un segnalibro, un indirizzo digitato a mano, un link in una email) non è più considerata same-site. Se un segnale conta sui link di azione nelle email, contrassegnatelo con #[Requires(sameOrigin: false)].
il cookie _nss viene ora inviato solo ai browser che non inviano l'header Sec-Fetch-Site
setCookie() invia l'attributo Max-Age e forza il flag Secure per SameSite=None e per i cookie partizionati
l'enum SameSite sostituisce le costanti IResponse::SameSiteLax ecc., che sono deprecate
la scadenza viene interpretata ovunque allo stesso modo: un numero è un numero relativo di secondi, una stringa è un intervallo o una data. Passare un timestamp UNIX assoluto è deprecato e il cookie di sessione si rappresenta con null invece che con 0.
il metodo deprecato Request::getRemoteHost() restituisce null
la classe deprecata da tempo Nette\Http\UserStorage è stata rimossa

Tutta la storia del passaggio agli header Sec-Fetch-* è raccontata nell'articolo Quarter Century of CSRF.

le credenziali dell'HTTP Basic Authentication non fanno più parte dell'oggetto Url, quindi $url->getUser() e $url->getPassword() restituiscono una stringa vuota. Leggetele con il nuovo metodo $request->getBasicCredentials().

I motivi di questo cambiamento sono spiegati nell'articolo Nette Http 3.2: change access to credentials.

i cookie vengono inviati con il flag sameSite: Lax
cookieSecure ha ora il valore predefinito ‘auto’
l'opzione session.cookieSecure è deprecata, al suo posto si usa http.cookieSecure
il cookie nette-samesite è stato rinominato in _nss
Nette\Http\Request::getFile() accetta un array di chiavi e restituisce FileUpload|null
Nette\Http\Session::getCookieParameters() è deprecato
Nette\Http\FileUpload::getName() è stato rinominato in getUntrustedName()
Nette\Http\Url: getBasePath(), getBaseUrl() e getRelativeUrl() sono deprecati (questi metodi fanno parte di UrlScript)
Nette\Http\Response::$cookieHttpOnly è deprecato
Nette\Http\FileUpload::getImageSize() restituisce la coppia [larghezza, altezza]
con autoStart: smart (il valore predefinito) la sessione non viene più avviata subito dopo l'avvio dell'applicazione solo perché il browser ha inviato un cookie di sessione; si avvia alla prima lettura o scrittura. Sono stati aggiunti i valori always e never.
quando il browser invia un ID di sessione per il quale non esiste alcuna sessione, Nette cancella il cookie invece di creare una nuova sessione
per accedere alle sezioni della sessione preferite i metodi set(), get() e remove(); a differenza dell'accesso tramite proprietà distinguono correttamente la lettura dalla scrittura e non avviano la sessione inutilmente
i valori predefiniti di cookiePath e cookieDomain si possono impostare nella configurazione

Il comportamento delle sessioni è descritto in dettaglio nell'articolo Nette Http 3.1: much smarter sessions.

l'oggetto Nette\Http\UrlScript (restituito per esempio da Nette\Http\Request::getUrl()) è ora immutabile
in new Nette\Http\Url('abcd') la stringa abcd rappresenta il percorso, non il dominio; dalla 3.0 (new Nette\Http\Url('abcd'))->setScheme('http') genera correttamente http:abcd invece del precedente http://abcd