Composer im Produktivbetrieb sicher verwenden

Composer verwaltet PHP-Abhängigkeiten. Auf einem Produktivsystem sollte Composer die im Projekt festgelegten Versionen installieren und nicht nebenbei neue Versionen auswählen.

Wichtiger Unterschied

• composer install verwendet bei vorhandener composer.lock die festgelegten Versionen.
• composer update berechnet neue erlaubte Versionen und verändert die Lock-Datei.

Updates gehören daher in eine Entwicklungs- oder Staging-Umgebung. Die geprüfte composer.lock wird anschließend zusammen mit dem Code bereitgestellt.

Vor dem Deployment

composer --version
composer validate
composer audit

Prüfen Sie außerdem die benötigte PHP-Version und Erweiterungen. Verwenden Sie Composer nicht als root; Plugins und Skripte können mit den Rechten des ausführenden Benutzers Code ausführen.

Produktionsinstallation

composer install --no-dev --prefer-dist --optimize-autoloader

Führen Sie den Befehl im Projektverzeichnis und mit dem Benutzer aus, dem die Anwendung gehört. Entfernen Sie --no-dev nur, wenn die Anwendung im Produktivbetrieb ausdrücklich Pakete aus require-dev benötigt.

Fehlerbehebung

PHP-Version oder Erweiterung fehlt

Prüfen Sie die tatsächlich verwendete CLI-Version mit php -v und php -m. Ignorieren Sie Plattformanforderungen nicht pauschal.

Speichergrenze erreicht

Prüfen Sie die CLI-Konfiguration und den verfügbaren Arbeitsspeicher. Erhöhen Sie Grenzen nicht unbegrenzt.

Installation führt fremde Skripte aus

Stoppen Sie und prüfen Sie Paketquelle, composer.json, Lock-Datei und Composer-Sicherheitsmeldungen.

Verwandte Artikel

• PHP CLI und Webserver-PHP unterscheiden
• Git-Deployment auf Webspace und Server
• Abhängigkeiten, Updates und Supply-Chain-Risiken