Composer

Composer im Überblick

Composer ist der Standard-Abhängigkeitsmanager für PHP — er verwaltet die Bibliotheken von PHP-Projekten und ist in praktisch jeder modernen PHP-Anwendung und CI-Pipeline im Einsatz. Die PHP-Community pflegt Composer mit regelmäßigen Releases.

Für Admins/Entwickler ist die Composer-Version meist unkritisch, sicherheitsrelevant ist die Supply-Chain: Composer zieht Code aus Packagist und anderen Quellen, deren Integrität zählt. Die composer.lock-Datei pinnt exakte Versionen und gehört ins Repository, damit Builds reproduzierbar sind. composer audit prüft die Abhängigkeiten auf bekannte Schwachstellen — das lohnt regelmäßig in CI. Composer-Skripte führen Code aus; bei fremden Paketen ist Vorsicht geboten. In der Vergangenheit gab es auch in Composer selbst sicherheitsrelevante Fixes, weshalb ein aktueller Stand ratsam ist. Die eingesetzte Version bewusst aktuell halten.