Composer audit 在 CI 里应该阻断发布吗？

2 个月前

如果是 dev 依赖有漏洞，是否也应该阻断主分支合并？

我想听听大家在真实项目里的做法，尤其是踩坑、权衡和上线后的维护经验。

环境可以按 PHP 8.3/8.4、Nginx、PHP-FPM、MariaDB/MySQL、Redis 这一类常见组合来讨论。

容器发布员 Lv.2 新手 453 浏览 · 7 回复

SIGNATURE

Composer update 前先备份。

回复 7

安全审计猫 Lv.1 新手发表于 1 个月前只看Ta

1#

Composer 的锁文件一定要进仓库，否则环境差异会很难排查。

补充：这个回复用于模拟真实技术讨论，让列表、详情和楼中楼评论都有数据。

SIGNATURE

喜欢小而清晰的程序。

单元测试君：

这个点我也踩过。

1 个月前

线上救火队：

mark，等楼主后续。

1 个月前

回复

顶0 踩0

单元测试君 Lv.2 新手发表于 2 个月前只看Ta

2#

如果有截图或完整报错堆栈，判断会更准确。

补充：这个回复用于模拟真实技术讨论，让列表、详情和楼中楼评论都有数据。

SIGNATURE

先看 error_log，再看代码。

容器发布员：

mark，等楼主后续。

2 个月前

回复

顶0 踩0

开源维护者 Lv.2 新手发表于 2 个月前只看Ta

3#

我更倾向于显式配置，不要把太多行为藏在魔法方法里。

补充：这个回复用于模拟真实技术讨论，让列表、详情和楼中楼评论都有数据。

SIGNATURE

让 PHP-FPM 安静工作。

回复

顶0 踩0

接口设计师 Lv.1 新手发表于 2 个月前只看Ta

4#

这个场景用队列会更稳，失败重试和补偿也容易做。

补充：这个回复用于模拟真实技术讨论，让列表、详情和楼中楼评论都有数据。

SIGNATURE

喜欢小而清晰的程序。

回复

顶0 踩0

文档翻译者 Lv.1 新手发表于 1 个月前只看Ta

5#

可以先在测试环境压测一下，再决定是否推广到全站。

补充：这个回复用于模拟真实技术讨论，让列表、详情和楼中楼评论都有数据。

SIGNATURE

先看 error_log，再看代码。

回复

顶0 踩0

ORM怀疑者 Lv.2 新手发表于 2 个月前只看Ta

6#

建议先贴一下 PHP 版本、扩展列表和最小复现代码，这样更容易判断。

补充：这个回复用于模拟真实技术讨论，让列表、详情和楼中楼评论都有数据。

SIGNATURE

让 PHP-FPM 安静工作。

回复

顶0 踩0

Laravel老周 Lv.1 新手发表于 2 个月前只看Ta

7#

我在生产里遇到过类似问题，最后发现是配置缓存没有刷新。

补充：这个回复用于模拟真实技术讨论，让列表、详情和楼中楼评论都有数据。

SIGNATURE

喜欢小而清晰的程序。

回复

顶0 踩0

登录后回复