Repolode
提交项目
Roave

Roave/SecurityAdvisories

一个 Composer 开发依赖，阻止安装存在已知安全漏洞的 PHP 包，每日更新。

在 GitHub 查看
Star
2,929
Fork
111
未关闭 Issue
1
最近提交
前天

这是什么？

Roave/SecurityAdvisories 是一个 Composer 包，用于阻止 PHP 项目安装存在已知安全漏洞的依赖。它本身不包含运行时代码，而是通过声明与易受攻击版本的冲突，让 Composer 在解析依赖时直接拒绝这些版本。

将它加入 composer.json 的 require-dev 后，任何试图安装或升级到受影响版本的操作都会失败。冲突列表基于 FriendsOfPHP 安全公告库和 GitHub Advisory Database 生成，并通过自动化构建每小时更新一次。

检查只在执行 composer require 添加依赖或运行 composer update 时触发；基于已有 composer.lock 执行 composer install 不会触发。该包只能以 dev-latest 形式安装，没有稳定的版本标签。

核心功能

  • 01针对已知存在漏洞的 Composer 包版本声明冲突规则
  • 02数据来自 FriendsOfPHP 与 GitHub Advisory Database，每小时更新
  • 03在 composer require 和 composer update 时阻止不安全的安装与升级
  • 04无需修改应用代码，也无需调用任何 API

适用场景

  • 防止 PHP 应用意外引入存在漏洞的库
  • 避免依赖升级时拉入已公开安全问题的版本
  • 为团队的 Composer 工作流增加基础的供应链安全检查

快速上手

  1. 1

    使用 Composer 将其安装为开发依赖

    composer require --dev roave/security-advisories:dev-latest

使用前须知

  • 只有 dev-latest 版本，没有稳定的标签版本。
  • 它不提供任何 API 或类，仅阻止安装有已知安全公告的包。
  • 检查仅在 composer require 或 composer update 时运行，composer install 时不会检查。

收录于专题

安全扫描、审计与威胁情报工具

标签

#php#composer#security#vulnerability-scanning#supply-chain-security#dependencies#infosec#security-advisories#security-vulnerabilities#security-vulnerability

常见问题

SecurityAdvisories 是什么？
一个 Composer 开发依赖，阻止安装存在已知安全漏洞的 PHP 包，每日更新。 Roave/SecurityAdvisories 是一个 Composer 包，用于阻止 PHP 项目安装存在已知安全漏洞的依赖。它本身不包含运行时代码，而是通过声明与易受攻击版本的冲突，让 Composer 在解析依赖时直接拒绝这些版本。
SecurityAdvisories 可以免费使用吗？用的什么许可证？
SecurityAdvisories 以 MIT 许可证开源。用于商业产品前，请先确认许可证条款。
SecurityAdvisories 还在维护吗？
活跃维护中。SecurityAdvisories 最近一次提交是在 2026年11月5日。
SecurityAdvisories 适合用来做什么？
防止 PHP 应用意外引入存在漏洞的库 避免依赖升级时拉入已公开安全问题的版本 为团队的 Composer 工作流增加基础的供应链安全检查
SecurityAdvisories 怎么安装和运行？
使用 Composer 将其安装为开发依赖: composer require --dev roave/security-advisories:dev-latest
在哪里获取 SecurityAdvisories？
源代码和安装说明在 GitHub 上：https://github.com/Roave/SecurityAdvisories

概要由 AI 根据项目 README 生成；GitHub 数据每日更新。

相关项目