En tant que developpeur PHP, vous connaissez probablement deja Composer, le gestionnaire de dependances pour PHP. C'est un outil essentiel pour gerer les paquets, rationaliser les mises a jour et assurer le bon fonctionnement de vos projets. Un aspect crucial de l'utilisation de Composer est de garder vos paquets a jour. Dans cet article, nous discuterons de l'importance de maintenir vos paquets Composer a jour et comment Composer Guardian, un script open-source, peut vous aider a y parvenir.

Pourquoi Garder les Paquets Composer a Jour ?

  1. Securite : Les paquets obsoletes peuvent exposer votre application a des risques de securite, car ils peuvent contenir des vulnerabilites qui ont ete corrigees dans les nouvelles versions.
  2. Performance : Les nouvelles versions de paquets contiennent souvent des ameliorations de performances et des optimisations qui peuvent conduire a une application plus rapide et plus efficace.
  3. Compatibilite : A mesure que PHP et d'autres paquets evoluent, des problemes de compatibilite peuvent survenir.
  4. Corrections de Bugs : Les mises a jour de paquets contiennent souvent des corrections de bugs qui peuvent resoudre des problemes que vous rencontrez.
  5. Nouvelles Fonctionnalites : Les paquets mis a jour introduisent souvent de nouvelles fonctionnalites qui peuvent beneficier a votre application.

Presentation de Composer Guardian

Le script fourni, appele Composer Guardian, est concu pour vous aider a rester au courant des mises a jour de paquets. Il lit votre fichier composer.json, verifie les mises a jour et genere un rapport detaillant les paquets a mettre a jour.

Fonctionnalites Cles :

  • Recupere la derniere version stable de chaque paquet liste dans votre fichier composer.json
  • Ignore les paquets avec certains prefixes (ex. 'ext-') ou les paquets exclus (ex. 'php')
  • Affiche un tableau avec le nom du paquet, la version actuelle et la derniere version
  • Peut envoyer le rapport a un canal Slack via une URL webhook

Utilisation :

Pour utiliser Composer Guardian, clonez simplement le depot GitHub et lancez le script avec les options de ligne de commande appropriees ou les variables d'environnement. Par exemple :

python/python3 composer_guardian.py --composer-file-path /chemin/vers/composer.json --slack-webhook-url https://hooks.slack.com/services/...

Ou, en utilisant les variables d'environnement :

export COMPOSER_FILE_PATH=/chemin/vers/composer.json
export SLACK_WEBHOOK_URL=https://hooks.slack.com/services/...
python/python3 composer_guardian.py

Automatisez la vérification : CI/CD planifié

Lancer le script à la main fonctionne exactement jusqu'à la semaine où vous oubliez. La vérification ne prouve sa valeur que lorsqu'elle tourne selon un planning, sans que personne n'ait à y penser. Composer Guardian se termine avec un code de sortie différent de zéro quand des mises à jour sont disponibles, donc n'importe quel système CI peut traiter les dépendances obsolètes comme un résultat à part entière : le signaler, ou faire échouer la pipeline.

Avec GitHub Actions, un cron hebdomadaire plus un déclencheur manuel suffisent. Copiez ceci dans votre projet PHP sous .github/workflows/composer-guardian.yml et ajoutez votre URL de webhook Slack comme secret de dépôt nommé SLACK_WEBHOOK_URL :

name: Composer Guardian

on:
schedule:
- cron: “0 9 * * 1”   # every Monday at 09:00 UTC
workflow_dispatch: {}


jobs:
check-dependencies:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v3


  - uses: actions/setup-python@v4
    with:
      python-version: "3.11"

  - name: Get Composer Guardian
    run: |
      git clone --depth 1 https://github.com/flightlesstux/Composer-Guardian.git /tmp/composer-guardian
      pip install -r /tmp/composer-guardian/requirements.txt

  - name: Check Composer packages
    env:
      COMPOSER_FILE_PATH: ${{ github.workspace }}/composer.json
      SLACK_WEBHOOK_URL: ${{ secrets.SLACK_WEBHOOK_URL }}
    run: |
      python3 /tmp/composer-guardian/composer_guardian.py || true

Le || true final est la seule décision à prendre. Gardez-le et le job reste toujours vert : le rapport arrive dans Slack et aucun déploiement n'est bloqué par un paquet qui a publié un correctif pendant la nuit. Retirez-le et les dépendances obsolètes font échouer la pipeline, ce qui est le bon choix pour les équipes qui traitent la dérive des dépendances comme une erreur de build plutôt que comme une notification. Aucun réglage par défaut ne convient à tout le monde ; choisissez le mode d'échec avec lequel vous pouvez vivre.

Sur GitLab, le même schéma est une pipeline planifiée : le dépôt fournit un job prêt à l'emploi dans examples/gitlab-ci.yml, configuré pour ne tourner que lorsqu'il est déclenché par un planning de pipeline. Les deux fichiers se trouvent dans le répertoire examples/ du dépôt, prêts à être copiés dans votre projet.

Conclusion

Garder vos paquets Composer a jour est crucial pour maintenir la securite, les performances et la sante globale de vos applications PHP. Composer Guardian fournit une solution facile a utiliser pour rester a jour avec les mises a jour de paquets et peut vous aider a rationaliser votre processus de developpement.

À lire ensuite

Références