一组PHP库被一种旨在窃取密码的病毒感染。将这些包集成到项目中的人，其数据已暴露。此次攻击提醒我们，不加控制地使用开源代码可能会带来严重后果。建议更新到安全版本，并验证每个依赖项的完整性。
依赖控制如何防止堆栈中的攻击 🛡️
感染通过官方仓库传播，攻击者在特定版本的包中插入了恶意代码。在服务器上执行时，恶意软件会提取存储在环境变量或配置文件中的凭据。为降低风险，关键是使用软件组成分析（SCA）工具，并维护每个依赖项的哈希记录。教训很简单：不要盲目信任你下载的内容。
你的包管理器偷走密码的那一天 😅
原来最大的安全风险不是戴兜帽的黑客，而是一个简单的composer install。现在开发者们看着他们的composer.json文件，就像对待机密文件一样。下一步可能是要求服务器在执行require之前先吹口气。幸好开源是免费的，因为那份安心还得另外付费。