Repolode
Предложить
Roave

Roave/SecurityAdvisories

Dev-зависимость Composer, блокирующая установку PHP-пакетов с известными уязвимостями; обновляется ежедневно.

Открыть на GitHub
Звёзды
2,929
Форки
111
Открытые issues
1
Последний коммит
21 час назад

Что это?

Roave/SecurityAdvisories — пакет Composer, который не позволяет PHP-проекту устанавливать зависимости с известными уязвимостями. В нём нет исполняемого кода: он объявляет конфликты с уязвимыми версиями пакетов, поэтому Composer не может разрешить их при изменении зависимостей.

Добавьте пакет в раздел require-dev файла composer.json — и попытка добавить зависимость или обновиться до затронутой версии завершится ошибкой. Список конфликтов формируется на основе базы данных уязвимостей FriendsOfPHP и GitHub Advisory Database и обновляется каждый час автоматически.

Проверки выполняются только при добавлении зависимости командой composer require или запуске composer update. Установка по существующему composer.lock их не запускает. Пакет нужно устанавливать как dev-latest, поскольку у него нет стабильных релизов с тегами.

Ключевые возможности

  • 01Объявляет конфликты с известными уязвимыми версиями пакетов Composer
  • 02Ежечасно обновляется на основе данных FriendsOfPHP и GitHub Advisory Database
  • 03Блокирует небезопасную установку и обновление при выполнении composer require и composer update
  • 04Не требует менять код приложения или использовать API

Сценарии использования

  • Защита PHP-приложения от случайного добавления уязвимой библиотеки
  • Предотвращение установки версий с опубликованными уязвимостями при обновлении зависимостей
  • Добавление базовой проверки безопасности цепочки поставок в рабочий процесс команды с Composer

Быстрый старт

  1. 1

    Установите его как зависимость для разработки с помощью Composer

    composer require --dev roave/security-advisories:dev-latest

Что важно знать

  • Доступна только версия dev-latest; стабильных релизов с тегами нет.
  • Пакет не предоставляет API или классы, а только блокирует установку пакетов с известными предупреждениями.
  • Проверки выполняются только при запуске composer require или composer update, но не composer install.

В подборках

Инструменты для сканирования, аудита и анализа угроз

Темы

#php#composer#security#vulnerability-scanning#supply-chain-security#dependencies#infosec#security-advisories#security-vulnerabilities#security-vulnerability

Частые вопросы

Что такое SecurityAdvisories?
Dev-зависимость Composer, блокирующая установку PHP-пакетов с известными уязвимостями; обновляется ежедневно. Roave/SecurityAdvisories — пакет Composer, который не позволяет PHP-проекту устанавливать зависимости с известными уязвимостями. В нём нет исполняемого кода: он объявляет конфликты с уязвимыми версиями пакетов, поэтому Composer не может разрешить их при изменении зависимостей.
SecurityAdvisories можно использовать бесплатно? Какая у него лицензия?
SecurityAdvisories распространяется с открытым исходным кодом под лицензией MIT. Перед использованием в коммерческих продуктах проверьте условия лицензии.
SecurityAdvisories всё ещё поддерживается?
Активно поддерживается. Последний коммит в SecurityAdvisories — 7 нояб. 2026 г..
Для чего можно использовать SecurityAdvisories?
Защита PHP-приложения от случайного добавления уязвимой библиотеки Предотвращение установки версий с опубликованными уязвимостями при обновлении зависимостей Добавление базовой проверки безопасности цепочки поставок в рабочий процесс команды с Composer
Как установить SecurityAdvisories?
Установите его как зависимость для разработки с помощью Composer: composer require --dev roave/security-advisories:dev-latest
Где скачать SecurityAdvisories?
Исходный код и инструкции по установке — на GitHub: https://github.com/Roave/SecurityAdvisories

Описание создано ИИ на основе README проекта. Статистика GitHub обновляется ежедневно.

Похожие проекты

fabric8-analytics / fabric8-analytics-vscode-extension

Расширение VS Code от Red Hat, которое находит известные уязвимости и проблемы с лицензиями в зависимостях проекта при редактировании манифестов.

Безопасность#security#vulnerability-scanning#dependency-management
258195TypeScriptApache-2.0Активно поддерживаетсяОбновлён 6 дней назад

Secrover / Secrover

Бесплатный инструмент с открытым исходным кодом для сканирования зависимостей, кода и доменов с созданием HTML-отчётов, которыми можно поделиться.

Безопасность#security#security-audit#vulnerability-scanner
259+1 за неделю4PythonGPL-3.0Активно поддерживаетсяОбновлён 4 дня назад

cloudflare / security-audit-skill

Навык для coding-agent, который проводит многоэтапные аудиты безопасности с изолированными агентами, независимой проверкой и машиночитаемыми результатами.

Безопасность#security#security-audit#ai-agent
65,4 тыс.+10,3 тыс. за неделю4,2 тыс.JavaScriptMITОбновлён 2 месяца назад