CentOS 上 Composer 安全检查实操指南
一 本地快速检查
- 确认 Composer 版本为2.7+：执行命令 composer --version；如版本较低，先升级。
- 在项目根目录执行：composer audit。该命令会扫描 composer.lock 并与公开安全数据库比对，输出包名、CVE 编号、严重程度（低/中/高/严重）、修复建议等。
- 修复思路：优先升级到包含修复的版本；若暂无修复版本，评估临时替代方案或缓解措施，并在变更后再次运行 composer audit 复核。
- 说明：composer audit 仅覆盖PHP 依赖的已知漏洞，不能替代代码审计与运行时防护。
二 兼容旧版本与阻断安装
- 对于 Composer < 2.7，可使用“虚拟包”策略：composer require --dev roave/security-advisories:dev-latest。
- 原理：该包会与存在已知漏洞的版本产生冲突，执行 composer update 时将中断并提示安全问题，从而在引入阶段阻止漏洞依赖进入项目。
- 注意：该方式属于“阻止安装”的预防性措施，仍需配合定期审计与升级策略。
三 在 CI/CD 中自动化检查
- 在 GitHub Actions 中示例：
- 使用官方或社区 Composer Action 安装依赖；
- 运行本地安全扫描器：vendor/bin/local-security-checker security:check --format=summary；
- 发现高危漏洞时使构建失败，强制修复后再合并。
- 可配合 Dependabot 或 Renovate Bot 自动创建依赖更新 PR，结合仓库的 GitHub Dependabot Alerts 获取 CVE 告警。
- GitLab 用户可直接启用内置的 Dependency Scanning（集成 OWASP Dependency-Check）。
四 配套安全实践
- 将 composer.lock 纳入版本控制，保证生产环境依赖一致性；在 CI 中用 composer install --prefer-dist --no-dev 模拟生产安装。
- 在 PR 中使用 composer update --dry-run 预览变更影响，减少引入风险。
- 定期更新依赖，移除不再使用的包；必要时结合 Snyk 等工具进行依赖安全监控。
- 同时加固运行环境：保持系统与软件包更新、配置 firewalld/iptables、启用 HTTPS/TLS、设置安全的文件权限与目录访问控制、对上传文件进行类型与大小限制及安全检查。