如何验证已安装的Composer依赖是否被篡改_使用 composer-sig 验证包的签名-composer-PHP中文网

如何验证已安装的Composer依赖是否被篡改_使用 composer-sig 验证包的签名

php中文网

发布： 2025-12-06 21:33:47

原创

343人浏览过

composer-sig 是指通过 GPG 签名验证 Composer 包完整性的安全实践，主流实现为 roave/composer-gpg-plugin，可全局安装并配置在 post-install-cmd 和 post-update-cmd 中自动校验依赖签名，确保包来自可信发布者且未被篡改；开发者可通过 git tag -s 对版本签名，配合可信镜像源与 composer.lock 文件管理，提升项目安全性。

如何验证已安装的composer依赖是否被篡改_使用 composer-sig 验证包的签名

在使用 Composer 管理 PHP 项目依赖时，确保第三方包未被篡改至关重要。尽管 Packagist 提供了官方仓库，但中间环节（如网络传输、镜像源）仍可能存在风险。为了增强安全性，可以使用 composer-sig 工具验证已安装的 Composer 包是否被篡改。

什么是 composer-sig？

composer-sig 是一个用于验证 Composer 安装的依赖包完整性和来源真实性的工具。它通过数字签名机制，确认每个包确实来自声称的发布者，并且在传输过程中未被修改。

安装 composer-sig

你需要先全局安装该工具：

composer global require roave/composer-gpg-plugin

登录后复制

或者使用专门用于签名验证的工具（目前社区主流为基于 GPG 的方案）。注意：composer-sig 并非 Composer 内建命令，而是指一类安全扩展实践，常见实现是 roave/composer-gpg-plugin 或手动校验流程。

启用 GPG 签名验证（推荐方式）

目前最可行的方法是使用 roave/composer-gpg-plugin 实现自动签名检查：

CodeGeeX

智谱AI发布的AI编程辅助工具插件，可以实现自动代码生成、代码翻译、自动编写注释以及智能问答等功能

166

查看详情

项目中添加插件支持：
composer require --dev roave/composer-gpg-plugin
配置 composer.json 启用签名验证：

"scripts": {
    "post-install-cmd": [
        "@php -r 'echo "Verifying package signatures...\n";'",
        "Roave\ComposerGpg\SignatureVerifier::verify"
    ],
    "post-update-cmd": [
        "@php -r 'echo "Verifying package signatures after update...\n";'",
        "Roave\ComposerGpg\SignatureVerifier::verify"
    ]
}

登录后复制

该插件会在每次安装或更新后尝试验证包的 GPG 签名，前提是维护者已签署其发布版本。