Repolode
投稿する
Roave

Roave/SecurityAdvisories

既知のセキュリティ勧告があるPHPパッケージのインストールを防ぐ、毎日更新されるComposer開発依存パッケージ。

GitHub で見る
スター
2,929
フォーク
111
未解決の Issue
1
最終コミット
昨日

これは何？

Roave/SecurityAdvisoriesは、既知のセキュリティ脆弱性がある依存パッケージをPHPプロジェクトにインストールできないようにするComposerパッケージです。実行時のコードは含まず、脆弱なバージョンのパッケージとの競合を宣言することで、依存関係の変更時にComposerが解決を拒否するようにします。

composer.jsonのrequire-devセクションに追加すると、影響を受けるバージョンをrequireしたり、更新したりしようとした際に失敗します。競合リストはFriendsOfPHP security advisoriesデータベースとGitHub Advisory Databaseをもとに作成され、自動ビルドによって1時間ごとに更新されます。

チェックが実行されるのは、composer requireで依存関係を追加するとき、またはcomposer updateを実行するときだけです。既存のcomposer.lockからインストールする場合はチェックされません。また、安定版のタグ付きリリースがないため、dev-latestとしてインストールする必要があります。

主な機能

  • 01既知の脆弱性があるComposerパッケージのバージョンとの競合を宣言
  • 02FriendsOfPHPとGitHub Advisory Databaseのデータをもとに1時間ごとに更新
  • 03composer requireやcomposer updateの実行時に、リスクのあるインストールや更新を阻止
  • 04アプリケーションのコード変更やAPIの利用は不要

ユースケース

  • PHPアプリケーションに脆弱なライブラリを誤って追加するのを防ぐ
  • 依存パッケージの更新によって、セキュリティ問題が公表されているバージョンが取り込まれるのを防ぐ
  • チームのComposerワークフローに基本的なサプライチェーンチェックを追加する

クイックスタート

  1. 1

    Composer の開発依存関係としてインストールします

    composer require --dev roave/security-advisories:dev-latest

使う前に知っておきたいこと

  • dev-latest バージョンのみが存在し、安定版のタグ付きリリースはありません。
  • API やクラスは提供せず、既知のアドバイザリがあるパッケージのインストールをブロックするだけです。
  • チェックは composer require または composer update の実行時にのみ行われ、composer install では行われません。

収録されている特集

セキュリティ診断・監査・脅威情報ツール

トピック

#php#composer#security#vulnerability-scanning#supply-chain-security#dependencies#infosec#security-advisories#security-vulnerabilities#security-vulnerability

よくある質問

SecurityAdvisories とは？
既知のセキュリティ勧告があるPHPパッケージのインストールを防ぐ、毎日更新されるComposer開発依存パッケージ。 Roave/SecurityAdvisoriesは、既知のセキュリティ脆弱性がある依存パッケージをPHPプロジェクトにインストールできないようにするComposerパッケージです。実行時のコードは含まず、脆弱なバージョンのパッケージとの競合を宣言することで、依存関係の変更時にComposerが解決を拒否するようにします。
SecurityAdvisories は無料で使えますか？ライセンスは？
SecurityAdvisories は MIT ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。
SecurityAdvisories は今もメンテナンスされていますか？
活発にメンテナンス中。SecurityAdvisories の最終コミットは 2026年11月5日 です。
SecurityAdvisories は何に使えますか？
PHPアプリケーションに脆弱なライブラリを誤って追加するのを防ぐ 依存パッケージの更新によって、セキュリティ問題が公表されているバージョンが取り込まれるのを防ぐ チームのComposerワークフローに基本的なサプライチェーンチェックを追加する
SecurityAdvisories のインストール方法は？
Composer の開発依存関係としてインストールします: composer require --dev roave/security-advisories:dev-latest
SecurityAdvisories はどこで入手できますか？
ソースコードとインストール手順は GitHub にあります：https://github.com/Roave/SecurityAdvisories

概要はプロジェクトの README をもとに AI が生成しています。GitHub の数値は毎日更新されます。

関連プロジェクト