Bezpłatne narzędzie, bez konta
Sprawdź w composer.lock daty końca wsparcia i znane podatności
Wrzuć plik poniżej. Po kilku sekundach zobaczysz, kiedy Twoja wersja PHP i framework przestają dostawać poprawki, które zainstalowane wersje mają znane podatności i które paczki są porzucone.
Lock Check działa w przeglądarce i potrzebuje JavaScriptu. Jeśli się nie pojawia, odśwież stronę albo wyślij nam composer.lock, a spojrzymy na niego za Ciebie.
Co czyta to sprawdzenie
Sprawdzenie czyta Twój composer.lock i, jeśli go dodasz, composer.json. Ustala na ich podstawie:
- PHP: wersję zapisaną w plikach Composera, datę, od której przestaje dostawać poprawki, i najwyższą wersję PHP, na którą pozwalają paczki z locka. Jeśli blokują następną wersję, wymienia te paczki z nazwy.
- Framework: Laravel, Symfony, Laminas i Zend Framework, CodeIgniter oraz CakePHP, z datami końca wsparcia.
- Podatności: znane zgłoszenia z Packagist dla zainstalowanych wersji, każde z linkiem do źródła i informacją, gdzie jest poprawka: w nowszym wydaniu tej samej gałęzi (
composer update), dopiero w nowszej wersji głównej albo nigdzie. - Porzucone paczki: oznaczone w pliku lock albo na Packagist.
Na górze raportu jedno zdanie i poziom ryzyka dla kogoś, kto nie czyta plików lock. „Kopiuj podsumowanie” daje zwykły tekst bez nazw paczek, do zgłoszenia albo maila do przełożonego.
Na naszych testowych plikach lock (Laravel 5.8, Laravel 12, Symfony 4.4 i Zend Framework 1) lista podatności zgadza się z composer audit co do jednej.
Czego plik lock nie pokaże: Twojego kodu, rozszerzeń PHP i serwera, sposobu wdrażania i testowania, ani tego, kto jeszcze zna aplikację. Od tego zaczyna się Debt Check.
Prywatność i dane, z których korzysta sprawdzenie
Czy mój composer.lock jest gdzieś wysyłany?
Nie. Plik jest czytany w tej karcie przeglądarki i nic na tej stronie go nie wysyła. Możesz to sprawdzić w zakładce Sieć (Network) w narzędziach deweloperskich przeglądarki, gdy sprawdzenie działa.
Co wysyła moja przeglądarka i dokąd?
Żeby sprawdzić podatności i porzucone paczki, przeglądarka pyta bezpośrednio packagist.org:
- o nazwy paczek (np.
symfony/console) przy podatnościach, - o nazwy dostawców (np.
symfony) przy porzuconych paczkach.
Wersje nie są wysyłane; porównanie odbywa się w karcie. Zapytania nie niosą ciasteczek ani adresu strony. Jak każda witryna, packagist.org widzi Twój adres IP i domenę tej strony.
Daty końca wsparcia są częścią strony. Tylko jeśli tego pliku nie da się wczytać, przeglądarka pobiera z endoflife.date daty dla PHP, Laravela, Symfony i CakePHP.
Czy da się sprawdzić plik bez wysyłania czegokolwiek?
Tak. Zaznacz „Sprawdzenie offline”, a nic nie trafi do packagist.org ani endoflife.date. Dostaniesz daty końca wsparcia i oznaczenia porzuconych paczek zapisane w pliku lock, ale bez podatności. „Wypróbuj na przykładzie” też niczego nie wysyła. Strona zapamiętuje ustawienie offline w pamięci lokalnej przeglądarki, tylko na Twoim urządzeniu.
Czy Refberg widzi moje wyniki?
Nie. Raport powstaje w Twojej przeglądarce, a do nas nie trafia ani plik, ani nazwy paczek, ani wynik. Ta strona nie prowadzi statystyk odwiedzin. Jeśli z raportu przejdziesz do formularza kontaktowego, adres pokazuje tylko, że przychodzisz z Lock Check, i poziom ryzyka. Szczegóły w polityce prywatności.
Czym to się różni od composer audit?
composer audit wypisuje podatności zainstalowanych paczek, z tych samych danych Packagist. Lock Check dodaje daty końca wsparcia PHP i frameworka, najwyższą wersję PHP, na którą pozwalają paczki, informację, gdzie jest każda poprawka, i podsumowanie zrozumiałe dla kogoś spoza zespołu. Nie trzeba niczego instalować.
Czy wysokie ryzyko znaczy, że aplikacja została zhakowana?
Nie. Znaczy, że wsparcie się skończyło albo część podatności nie ma poprawki w gałęzi, której używasz. Podatność na liście oznacza, że zainstalowana wersja mieści się w zakresie podanym w zgłoszeniu. Czy Twój kod korzysta z tej części paczki, plik lock nie pokaże.
Jak aktualne są daty i podatności?
Podatności pochodzą z Packagist z chwili sprawdzenia. Daty końca wsparcia są częścią strony, z endoflife.date oraz stron projektów Zend Framework, Laminas i CodeIgniter; raport podaje, z jakiego dnia są dane. Nasz kalendarz EOL sprawdzamy na stronach samych opiekunów projektów.