Composer 2.11 冷卻期政策：為你的網站阻斷惡意套件攻擊

許多企業官網或電商平台底層使用的是 PHP 程式語言，在開發與維護時，會透過名為 Composer 的工具來自動下載與更新所需的程式套件。然而，如果套件剛發布就立刻更新，萬一該套件被駭客植入惡意程式，網站就會面臨資安風險。Composer 2.11 版本推出了全新的 Composer 冷卻期政策，能有效為網站把關，這對於關心網站穩定與資安的企業主來說，是一個非常重要的保護機制。

什麼是 Composer 與冷卻期政策？

簡單來說，Composer 就像是網站的「零件採購管家」，負責幫網站下載、安裝與管理各種程式套件。過去如果套件發布，管家會馬上安裝。現在新推出的 Composer 冷卻期政策，允許你設定一個「等待時間」，例如 1 天或 6 小時。

如果某個套件剛發布，Composer 會先跳過不安裝。這樣一來，如果該套件在發布後短時間內被發現有惡意程式並被下架，你的網站就永遠不會安裝到這個危險版本，從源頭阻斷攻擊。這個政策可以針對特定套件設定豁免名單，也可以在急需安全更新時手動關閉冷卻期，兼顧了安全與彈性。

網站資安再升級：6 項安全修復與效能提升

除了冷卻期政策，Composer 2.11 還包含了 6 項重要的安全修復。例如：防止惡意套件將檔案寫入到不該寫的地方、避免 API 金鑰（用於連接第三方服務的密碼）被意外寫入紀錄檔中，以及拒絕使用不安全的網路憑證連線。這些修復大幅降低了網站被入侵的風險。

在效能方面，新版本優化了依賴解析（也就是計算套件之間關聯性的過程），讓更新與安裝的速度更快，同時減少記憶體的使用。根據測試，更新時的 CPU 運算時間顯著下降。此外，系統也移除了過去在下載失敗時自動改用原始碼倉庫下載的機制，讓整個安裝流程更加穩定且安全。

崴米的建議

• 建立安全的更新機制：雖然 Composer 提供了冷卻期政策來保護網站，但程式套件的更新仍需由具備技術背景的人員來操作與測試。建議企業主不要讓網站自動盲目更新，而是定期由工程師評估後再進行升級，確保網站功能不會因為版本衝突而當機。
• 委託專業團隊進行日常維護與監控：網站底層的資安防護與主機穩定度，需要持續關注。將網站交給專業的團隊代管，不僅能確保程式與套件保持在安全狀態，還能即時處理主機異常或資安警報，讓您可以專心發展本業。

如果您希望網站上線後有專業團隊幫忙顧好底層安全與主機穩定，歡迎了解我們的 網站代管維護與主機監看 服務。

參考來源：Cooldown Dependency Policy now in Composer 2.11