Kostenloses Tool, ohne Konto
Prüfen Sie Ihre composer.lock auf Supportende und bekannte Sicherheitsmeldungen
Ziehen Sie die Datei in das Feld unten. Nach wenigen Sekunden sehen Sie, wann Ihre PHP-Version und Ihr Framework keine Updates mehr bekommen, zu welchen installierten Versionen es bekannte Sicherheitsmeldungen gibt und welche Pakete nicht mehr gepflegt werden.
Lock Check läuft in Ihrem Browser und braucht JavaScript. Erscheint die Prüfung nicht, laden Sie die Seite neu oder schicken Sie uns Ihre composer.lock, dann sehen wir sie uns für Sie an.
Was die Prüfung liest
Die Prüfung liest Ihre composer.lock und, wenn Sie sie hinzufügen, Ihre composer.json. Daraus ermittelt sie:
- PHP: die in den Composer-Dateien festgelegte Version, ihr Supportende und die höchste PHP-Version, die Ihre Pakete laut
composer.lockzulassen. Schließen sie die nächste Version aus, nennt die Prüfung die Pakete, die im Weg stehen. - Framework: Laravel, Symfony, Laminas und Zend Framework, CodeIgniter und CakePHP, jeweils mit Supportende.
- Sicherheitsmeldungen: bekannte Meldungen von Packagist zu den installierten Versionen, jeweils mit Link zur Quelle und mit der Angabe, wo der Fix liegt: in einem neueren Release desselben Zweigs (
composer update), erst in einer neuen Hauptversion oder gar nicht veröffentlicht. - Nicht mehr gepflegte Pakete: markiert in der Lock-Datei oder auf Packagist.
Ganz oben im Bericht stehen ein Satz und eine Risikostufe für alle, die keine Lock-Dateien lesen. „Zusammenfassung kopieren“ liefert reinen Text ohne Paketnamen, für ein Ticket oder eine E-Mail an Ihre Vorgesetzten.
Bei unseren Test-Lock-Dateien (Laravel 5.8, Laravel 12, Symfony 4.4 und Zend Framework 1) stimmen die Sicherheitsmeldungen eins zu eins mit composer audit überein.
Was eine Lock-Datei nicht zeigt: Ihren Code, PHP-Erweiterungen und den Server, wie die Anwendung ausgeliefert und getestet wird und wer sie noch kennt. Dort setzt der Debt Check an.
Datenschutz und Datenquellen der Prüfung
Wird meine composer.lock hochgeladen?
Nein. Die Datei wird in diesem Browser-Tab gelesen, und nichts auf dieser Seite lädt sie hoch. Sie können das im Netzwerk-Tab der Entwicklertools Ihres Browsers verfolgen, während die Prüfung läuft.
Was sendet mein Browser, und wohin?
Für Sicherheitsmeldungen und nicht mehr gepflegte Pakete fragt Ihr Browser direkt bei packagist.org an:
- mit Paketnamen (zum Beispiel
symfony/console) für die Sicherheitsmeldungen, - mit Vendor-Namen (zum Beispiel
symfony) für die Markierung nicht mehr gepflegter Pakete.
Versionen werden nicht gesendet, der Abgleich passiert im Tab. Die Anfragen enthalten keine Cookies und keine Seitenadresse. Wie jede Website sieht packagist.org Ihre IP-Adresse und die Domain dieser Website.
Die Daten zum Supportende liegen der Seite bei. Nur wenn sich diese Datei nicht laden lässt, fragt Ihr Browser endoflife.date nach den Daten für PHP, Laravel, Symfony und CakePHP.
Kann ich prüfen, ohne etwas zu senden?
Ja. Setzen Sie das Häkchen bei „Offline-Prüfung“, dann geht nichts an packagist.org oder endoflife.date. Sie erhalten weiterhin das Supportende und die in der Lock-Datei gespeicherten Markierungen nicht mehr gepflegter Pakete, aber keine Sicherheitsmeldungen. Auch „Mit einem Beispiel testen“ sendet nichts. Die Einstellung „Offline-Prüfung“ merkt sich die Seite im lokalen Speicher Ihres Browsers, nur auf Ihrem Gerät.
Sieht Refberg meine Ergebnisse?
Nein. Der Bericht entsteht in Ihrem Browser, und wir erhalten weder die Datei noch Paketnamen noch das Ergebnis. Diese Website führt keine Besucherstatistik. Wenn Sie aus dem Bericht zum Kontaktformular gehen, zeigt die Adresse nur, dass Sie von Lock Check kommen, und die Risikostufe. Details in der Datenschutzerklärung.
Was ist der Unterschied zu composer audit?
composer audit listet Sicherheitsmeldungen zu Ihren installierten Paketen auf, aus denselben Packagist-Daten. Lock Check ergänzt das Supportende von PHP und Framework, die höchste PHP-Version, die Ihre Pakete zulassen, wo jeder Fix liegt, und eine Zusammenfassung, die auch jemand außerhalb des Teams versteht. Installieren müssen Sie nichts.
Heißt hohes Risiko, dass die Anwendung gehackt wurde?
Nein. Es heißt, dass der Support beendet ist oder dass es zu einigen Sicherheitsmeldungen im verwendeten Zweig keinen Fix gibt. Eine Sicherheitsmeldung in der Liste bedeutet, dass die installierte Version im betroffenen Bereich liegt. Ob Ihr Code den betroffenen Teil nutzt, zeigt die Lock-Datei nicht.
Wie aktuell sind die Daten?
Sicherheitsmeldungen kommen zum Zeitpunkt der Prüfung von Packagist. Die Daten zum Supportende liegen der Seite bei, von endoflife.date und den Projektseiten von Zend Framework, Laminas und CodeIgniter; der Bericht nennt ihren Stand. Unseren EOL-Kalender gleichen wir mit den Seiten der Projekte selbst ab.