如何检查我的Composer依赖是否存在已知的安全漏洞？（security checker）-composer-PHP中文网

如何检查我的Composer依赖是否存在已知的安全漏洞？（security checker）

尼克

发布： 2025-12-20 14:06:07

原创

577人浏览过

Composer 2.5+ 内置的 composer security:check 命令是目前最直接、集成度高且持续维护的安全检查方式，自动扫描 composer.lock 并比对 Symfony 安全公告数据库。

如何检查我的composer依赖是否存在已知的安全漏洞？（security checker）

你可以使用 SensioLabs Security Checker（已归档）的替代工具，比如官方推荐的 Composer Security Plugin 或 PHP Security Checker，但目前最直接、集成度最高且持续维护的方式是启用 Composer 内置的安全检查功能。

使用 Composer 自带的 security:check 命令

从 Composer 2.5 开始，composer security:check 成为原生命令（无需额外插件），它会自动扫描 composer.lock 中所有已安装依赖，比对 Symfony Security Advisory Database（由 Symfony 团队维护，覆盖大量 PHP 包）。

确保你使用的是 Composer 2.5+：composer --version
在项目根目录运行：composer security:check
若发现漏洞，会列出包名、版本、CVE 编号（如有）、严重程度和简要描述
该命令默认离线检查失败时才回退到在线数据库，隐私友好

升级到安全版本的依赖

发现漏洞后不能只看报告，关键是要修复：

优先运行 composer update vendor/package-name 升级到已修复的版本（查看报告中的建议版本或对应 CVE 的补丁说明）
如需批量升级多个有漏洞的包，可结合 composer outdated --security 查看哪些包存在安全更新
注意：某些旧版包可能已无维护，需考虑替换为更活跃的替代方案（如用 league/flysystem 替代弃用的 flysystem v1）

在 CI/CD 中自动检查（例如 GitHub Actions）

把安全检查纳入构建流程，防止带漏洞依赖被合并：

Opus

AI生成视频工具

查看详情

在 workflow 中添加步骤：composer security:check --no-interaction --format=json > security-report.json || true
配合脚本解析 JSON 输出，非零退出码表示存在中高危漏洞时让 CI 失败
也可使用 composer install --no-scripts --no-plugins 后再检查，避免插件干扰