作曲家和包裝師 - 如何避免惡意代碼注入

Question

是否有任何機制，可以確保上傳到packagist.org的包沒有惡意代碼。 是否有人在安裝/上傳的軟件包中查看源代碼。

例如：如果某人上傳了主要功能的軟件包，除了將我的配置文件發送到外部服務器之外呢？

當安裝軟件包非常簡單，只需在composer.json中添加一行，我有點擔心上述情況會發生。

Answer 1

這是開源軟件的祝福和詛咒。您通常可以查看整個源代碼。這意味着任何人都很難包含惡意代碼，並且仍然未被發現，儘管這並不是完全的保險。衡量包裹周圍的氛圍，有多少人正在使用它，問題跟蹤器中的評論或票證說什麼。

歸結爲：不要使用你不信任的軟件。通過自己評估或相信社區已經這樣做來信任它。