Попавший в репозиторий auth.json раскрывает ваши токены приватных пакетов, secure-http false позволяет любому участнику сети подменить пакет, а laravel-debugbar в require переносит панель отладки в рабочую среду. Этот навык находит эти и ещё шесть ошибок Composer перед следующей установкой и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для composer.json, composer.lock и файла auth.json Composer. Он учитывает собственные правила Composer: строки php и ext-* задают требования к платформе, репозитории Composer 2 по умолчанию канонические, а тип пакета по умолчанию - library. Он читает .gitignore, поэтому игнорируемый auth.json не попадает в отчёт. Он никогда не запускает Composer и ничего не скачивает. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Токены никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• K01: auth.json с токенами или паролями, который git не игнорирует

• K02: secure-http false, disable-tls либо источники пакетов http:// и git://

• K03: токены или пароли, записанные в composer.json

REVIEW (проверить перед релизом)

• K11: скрипты Composer, которые скачивают и запускают код

• K12: allow-plugins со значением true

• K13: версии *, диапазоны без верхней границы или версии из веток разработки либо minimum-stability dev

• K14: проект без composer.lock

• K15: репозитории с canonical false (подмена зависимостей)

• K16: средства отладки и тестирования в require вместо require-dev

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с объяснением причины и более безопасного подхода для каждого правила

• Примеры небезопасного и безопасного проекта и настоящий отчёт сканера по небезопасному примеру

Ограничения

Каждый файл анализируется в том виде, в котором записан: известные уязвимости версий пакетов (используйте composer audit), глобальная конфигурация Composer, COMPOSER_AUTH и поведение плагинов не проверяются. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-архив с 11 файлами: SKILL.md, сканер в scripts/ (3 файла Python), references/rules.md (каждое правило с объяснением причины и более безопасного подхода), а также examples/ (5 файлов примеров и report.md, фактический вывод сканера для небезопасного примера).

Как пользоваться: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты можно запускать и отдельно с Python 3.9 или новее, без установки дополнительных пакетов. Они только читают ваши файлы: доступа к сети нет, данные никуда не отправляются.