SecurityAdvisories

คำแนะนำด้านความปลอดภัย Roave

ข้อความถึงคนรัสเซีย

หากคุณอาศัยอยู่ในรัสเซีย โปรดอ่านข้อความนี้

ช่วยเหลือปาเลสไตน์

วัตถุประสงค์

แพ็คเกจนี้ช่วยให้แน่ใจว่าแอปพลิเคชันของคุณไม่ได้ติดตั้งการพึ่งพาที่มีช่องโหว่ด้านความปลอดภัยที่ทราบ

การติดตั้ง

composer require --dev roave/security-advisories:dev-latest

การใช้งาน

แพ็คเกจนี้ไม่มี API หรือคลาสที่ใช้งานได้: จุดประสงค์เดียวคือเพื่อป้องกันการติดตั้งซอฟต์แวร์ที่มีปัญหาด้านความปลอดภัยที่ทราบและบันทึกไว้ เพียงเพิ่ม "roave/security-advisories": "dev-latest" ลงในส่วน composer.json "require-dev" ของคุณ แล้วคุณจะไม่สามารถทำร้ายตัวเองด้วยซอฟต์แวร์ที่มีช่องโหว่ด้านความปลอดภัยที่ทราบได้

ตัวอย่างเช่น ลองต่อไปนี้:

composer require --dev roave/security-advisories:dev-latest
# following commands will fail:
composer require symfony/symfony:2.5.2
composer require zendframework/zendframework:2.3.1 

การตรวจสอบจะดำเนินการเฉพาะเมื่อเพิ่มการพึ่งพาใหม่ผ่าน composer require หรือเมื่อรัน composer update : การปรับใช้แอปพลิเคชันด้วย composer.lock ที่ถูกต้องและผ่าน composer install จะไม่ทำให้เกิดการตรวจสอบเวอร์ชันความปลอดภัยใดๆ

คุณสามารถทริกเกอร์การตรวจสอบเวอร์ชันด้วยตนเองได้โดยใช้สวิตช์ --dry-run ในการอัปเดตในขณะที่ไม่ได้ทำอะไรเลย การเรียกใช้ composer update --dry-run roave/security-advisories เป็นวิธีที่มีประสิทธิภาพในการทริกเกอร์การตรวจสอบเวอร์ชันความปลอดภัยด้วยตนเอง

roave/คำแนะนำด้านความปลอดภัยสำหรับองค์กร

มีให้เป็นส่วนหนึ่งของการสมัครสมาชิก Tidelift

ผู้ดูแล roave/คำแนะนำด้านความปลอดภัย และแพ็คเกจอื่นๆ หลายพันรายการกำลังทำงานร่วมกับ Tidelift เพื่อให้การสนับสนุนเชิงพาณิชย์และการบำรุงรักษาสำหรับการพึ่งพาโอเพ่นซอร์สที่คุณใช้ในการสร้างแอปพลิเคชันของคุณ ประหยัดเวลา ลดความเสี่ยง และปรับปรุงประสิทธิภาพของโค้ด ในขณะเดียวกันก็จ่ายเงินให้กับผู้ดูแลตามที่คุณใช้ เรียนรู้เพิ่มเติม

คุณสามารถติดต่อเราได้ที่ [email protected] เพื่อตรวจสอบปัญหาด้านความปลอดภัยในโครงการของคุณเอง

ความมั่นคง

แพ็คเกจนี้จำเป็นต้องใช้ในเวอร์ชัน dev-latest เท่านั้น: จะไม่มีเวอร์ชันที่เสถียรหรือติดแท็กเนื่องจากลักษณะของปัญหาที่เป็นเป้าหมาย ความจริงแล้วปัญหาด้านความปลอดภัยเป็นเป้าหมายที่กำลังเคลื่อนที่ และการล็อกโปรเจ็กต์ของคุณให้เป็นเวอร์ชันที่แท็กเฉพาะของแพ็คเกจนั้นไม่สมเหตุสมผลเลย

แพ็คเกจนี้จึงเหมาะสำหรับการติดตั้งในรูทของโปรเจ็กต์ที่ปรับใช้ได้ของคุณเท่านั้น

แหล่งที่มา

แพ็คเกจนี้แยกข้อมูลเกี่ยวกับปัญหาด้านความปลอดภัยที่มีอยู่ในโปรเจ็กต์ผู้แต่งต่างๆ จากพื้นที่เก็บข้อมูล FriendsOfPHP/security-advisories และฐานข้อมูลที่ปรึกษา GitHub