Eine eingecheckte auth.json gibt deine Tokens für private Pakete preis, secure-http false ermöglicht jedem im Netzwerk den Austausch eines Pakets, und laravel-debugbar in require bringt ein Debug-Panel in den Produktivbetrieb. Dieser Skill findet diese und sechs weitere Composer-Fehler vor deiner nächsten Installation und erklärt dir, wie du sie jeweils behebst.

Dein Agent führt einen Scanner für composer.json, composer.lock und die auth.json von Composer aus. Er berücksichtigt die Regeln von Composer: php- und ext-*-Einträge sind Plattformanforderungen, Composer-2-Repositories sind standardmäßig kanonisch, und der Standardpakettyp ist library. Er liest .gitignore, sodass eine ignorierte auth.json nicht gemeldet wird. Composer wird niemals ausgeführt, und es wird nichts heruntergeladen. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Tokens werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• K01: eine auth.json mit Tokens oder Passwörtern, die Git nicht ignoriert

• K02: secure-http false, disable-tls oder Paketquellen mit http:// und git://

• K03: in composer.json hinterlegte Tokens oder Passwörter

REVIEW (vor dem Release prüfen)

• K11: Composer-Skripte, die Code herunterladen und ausführen

• K12: allow-plugins auf true gesetzt

• K13: *, nach oben offene Versionsbereiche oder Versionen aus Entwicklungszweigen beziehungsweise minimum-stability dev

• K14: ein Projekt ohne composer.lock

• K15: Repositories mit canonical false (Dependency Confusion)

• K16: Debug- und Testwerkzeuge in require statt in require-dev

Das ist enthalten

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein unsicheres und ein sicheres Beispielprojekt sowie der tatsächliche Scannerbericht zur unsicheren Variante

Grenzen

Jede Datei wird so analysiert, wie sie vorliegt: Bekannte Schwachstellen in Paketversionen (dafür composer audit verwenden), die globale Composer-Konfiguration, COMPOSER_AUTH und das Verhalten von Plugins werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Ein ZIP-Archiv mit 11 Dateien: SKILL.md, der Scanner in scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (5 Beispieldateien plus report.md, die tatsächliche Scannerausgabe zum unsicheren Beispiel).

So verwendest du es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne etwas zusätzlich zu installieren. Sie lesen lediglich deine Dateien: kein Netzwerkzugriff, und es werden keine Daten versendet.