Безопасность работы Composer: предупреждения root-доступа, риски и особенности использования в Docker/Podman контейнерах

• Почему я вижу предупреждение/ошибку «Не запускайте Composer от имени root/super user»?
• Безопасно ли запускать Composer от имени superuser или root?
• Запуск Composer внутри контейнеров Docker/Podman

Честный VDS/VPS, на котором «Лунная База» живет уже 20+ лет

Задумываетесь о том, чтобы поднять свой pet-проект, сайт клиента или настроить окружение для разработки? Уже пора подумать, где арендовать железо.

Лунная База хостится на FirstVDS более 20 лет. Мыслей о том, чтобы перебраться на другой хостинг, не было ни разу (хотя опыт работы с другими вариантами, конечно, есть).

Бывали разные ситуации, но они бывают на любом железе. Главное, что нужно понять: здесь нет маркетинговой шелухи и сказок про «мы всё сделаем за вас». Если вы берете VDS — вам дают полный root, возможность накатить любую ОС и не лезут в ваши конфиги.

Если в саппорт написать с вопросом по вашему коду и получить ответ: «Читайте документацию и разбирайтесь сами» или «Обратитесь к профильному специалисту» — это не повод обижаться. Это повод углубить свои знания в DevOps и сайтостроении! Бегите от тех, кто пообещает: «Мы всё чиним и настраиваем абсолютно бесплатно!». Никто никогда не работает «по доброте душевной» в ущерб себе, а бесплатный сыр в администрировании обычно заканчивается сломанной базой данных.

Что по факту: Гибкое масштабирование ядер и RAM, экономия по сравнению с физическими серверами и адекватная панель ispmanager, если она вам нужна.

Посмотреть тарифы VDS/VPS

Почему я вижу предупреждение/ошибку «Не запускайте Composer от имени root/super user»?

Не рекомендуется запускать Composer от имени root по причинам, описанным ниже.

Начиная с Composer 2.4.2, плагины отключаются автоматически при запуске от имени root, и нет никаких признаков того, что пользователь делает это сознательно. Согласие пользователя может быть дано двумя способами:

При выполнении интерактивной работы Composer спросит, уверены ли вы, что хотите продолжить работу от имени root. При отсутствии интерактивного запуска плагины будут отключены, если только...
Если вы установили переменную окружения COMPOSER_ALLOW_SUPERUSER в 1, это также указывает на то, что вы собираетесь запускать Composer от имени root и принимаете на себя все риски, связанные с этим.

Безопасно ли запускать Composer от имени superuser или root?

Некоторые команды Composer, включая exec, install и update, позволяют стороннему коду выполняться в вашей системе. Это происходит благодаря функциям «plugins» и «scripts». Плагины и скрипты имеют полный доступ к учетной записи пользователя, под которой запущен Composer. По этой причине настоятельно рекомендуется избегать запуска Composer от имени super-user/root. Все команды также отправляют события, которые могут быть перехвачены плагинами, поэтому, если установленные плагины не отключены явно, они будут загружаться/выполняться каждой командой Composer.

С помощью следующего синтаксиса можно отключить плагины и скрипты во время установки или обновления пакета, чтобы выполнялся только код Composer, а не код сторонних разработчиков:

php composer.phar install --no-plugins --no-scripts ...
php composer.phar update --no-plugins --no-scripts ...

В зависимости от операционной системы известны случаи, когда можно было инициировать выполнение файлов в репозитории с помощью специально созданного composer.json. Поэтому в целом, если вы хотите установить ненадежные зависимости, вам следует полностью поместить их в контейнер или его аналог.

Также обратите внимание, что команда exec всегда будет запускать сторонний код от имени пользователя, под которым запущен composer.

Дополнительную информацию о том, как отключить предупреждения, см. в переменной окружения COMPOSER_ALLOW_SUPERUSER.

Запуск Composer внутри контейнеров Docker/Podman

Composer делает все возможное, чтобы определить, что он работает внутри контейнера, и если это так, то он разрешит запуск от имени root без каких-либо дальнейших проблем. Однако если это определение не удается, вы увидите предупреждения, а плагины будут отключены, если вы не установите переменную окружения COMPOSER_ALLOW_SUPERUSER.

Перевод с английского:
getcomposer.org

Самый честный хостинг за 20+ лет существования Лунной Базы

Задумываешься о том, чтобы поднять свой сайт в Интернете? Уже пора подумать о том, какой хостинг выбрать?

Лунная База хостится 20+ лет на firstDVS. При этом, мыслей о том, чтобы перебраться на другой хостинг не было. (Но, при этом есть опыт работы с другими вариантами.)

Бывали с firstDVS разные ситуации, но, они бывают на всех хостингах. Единственное, что тут важно понять, - это то, что никто ничего тебе не будет впаривать... Но, и работать за тебя тоже никто не станет. Если в саппорт ответили: «Читайте по ссылке и разбирайтесь сами...» или вообще «Обратитесь за помощью к специалисту», - это повод углубить свои знания в области сайтостроения, а не бежать к тем, что пообещают: «Мы всё чиним и всё делаем за своих клиентов абсолютно бесплатно!» Никто никогда ничего ни за кого "по доброте душевной" не делал, не делает и не будет делать!

Выбрать