PHP開発者として、PHPの依存関係マネージャーであるComposerにすでに精通している可能性が高い。パッケージの管理、更新の合理化、プロジェクトの円滑な実行を確保するための不可欠なツールだ。Composerを使用する上で重要な側面の一つは、パッケージを最新の状態に保つことだ。このブログ記事では、Composerパッケージを最新に保つことの重要性と、オープンソーススクリプトであるComposer Guardianがその達成にどのように役立つかについて議論する。

なぜComposerパッケージを最新に保つべきか？

  1. セキュリティ: 古いパッケージは、新しいバージョンで対処された脆弱性を含む可能性があるため、アプリケーションをセキュリティリスクにさらす。パッケージを最新に保つことで、ハッカーの標的になるリスクを最小化する。
  2. パフォーマンス: 新しいバージョンのパッケージには、より高速で効率的なアプリケーションにつながるパフォーマンス改善や最適化が含まれていることが多い。最新の状態を保つことで、最も効率的なバージョンのパッケージを使用していることが保証される。
  3. 互換性: PHPや他のパッケージが進化するにつれて、互換性の問題が発生する可能性がある。定期的にパッケージを更新することで、非推奨機能に関連する競合や問題に遭遇するリスクを最小化する。
  4. バグ修正: パッケージの更新には、アプリケーションで経験しているかもしれない問題を解決できるバグ修正が含まれていることが多い。最新の状態を保つことで、潜在的な問題を回避し、よりスムーズな開発プロセスを確保できる。
  5. 新機能: 更新されたパッケージは、アプリケーションに利益をもたらす新機能を導入することが多い。パッケージを最新に保つことで、これらの機能を活用し、プロジェクト内で革新を続けることができる。

Composer Guardianの紹介

提供されるComposer Guardianと呼ばれるスクリプトは、パッケージ更新を把握し続けるのを助けるよう設計されている。composer.jsonファイルを読み取り、更新をチェックし、どのパッケージを更新する必要があるかを詳細に示すレポートを生成する。

主な機能:

  • composer.jsonファイルにリストされている各パッケージの最新安定版を取得する
  • 特定のプレフィックス（'ext-'など）または除外パッケージ（'php'など）をスキップする
  • パッケージ名、現在のバージョン、最新バージョンを含むテーブルを表示する
  • オプションでwebhook URLを使用してSlackチャネルにレポートを送信する

使用方法:

Composer Guardianを使用するには、GitHubリポジトリをクローンし、適切なコマンドラインオプションまたは環境変数でスクリプトを実行するだけだ。例えば:

python/python3 composer_guardian.py --composer-file-path /path/to/composer.json --slack-webhook-url https://hooks.slack.com/services/...

または、環境変数を使用する:

export COMPOSER_FILE_PATH=/path/to/composer.json
export SLACK_WEBHOOK_URL=https://hooks.slack.com/services/...
python/python3 composer_guardian.py

チェックを自動化する: スケジュール実行のCI/CD

スクリプトを手で実行するやり方は、忘れたその週まででしか機能しない。このチェックは、誰も覚えていなくてもスケジュールで動いてこそ意味がある。Composer Guardianは更新があると非ゼロの終了コードで終わるため、どのCIシステムでも古い依存関係を正式な結果として扱える。レポートするか、パイプラインを失敗させるかだ。

GitHub Actionsなら、週次のcronと手動トリガーで十分だ。以下をPHPプロジェクトの.github/workflows/composer-guardian.ymlとしてコピーし、Slackのwebhook URLをSLACK_WEBHOOK_URLという名前のリポジトリsecretに追加する:

name: Composer Guardian

on:
schedule:
- cron: “0 9 * * 1”   # every Monday at 09:00 UTC
workflow_dispatch: {}


jobs:
check-dependencies:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v3


  - uses: actions/setup-python@v4
    with:
      python-version: "3.11"

  - name: Get Composer Guardian
    run: |
      git clone --depth 1 https://github.com/flightlesstux/Composer-Guardian.git /tmp/composer-guardian
      pip install -r /tmp/composer-guardian/requirements.txt

  - name: Check Composer packages
    env:
      COMPOSER_FILE_PATH: ${{ github.workspace }}/composer.json
      SLACK_WEBHOOK_URL: ${{ secrets.SLACK_WEBHOOK_URL }}
    run: |
      python3 /tmp/composer-guardian/composer_guardian.py || true

末尾の|| trueが、唯一決めるべきことだ。残せばジョブは常にグリーンになる。レポートはSlackに届き、夜間にパッチリリースを出したパッケージのせいでデプロイが止まることはない。外せば古い依存関係がパイプラインを失敗させる。依存関係のドリフトを通知ではなくビルドエラーとして扱うチームには、それが正しい選択だ。万人に正しいデフォルトはない。許容できる失敗モードを選ぶこと。

GitLabでは、同じパターンはスケジュールされたパイプラインになる。リポジトリにはexamples/gitlab-ci.ymlとして、パイプラインスケジュールから起動されたときだけ動くジョブが用意されている。どちらのファイルもリポジトリのexamples/ディレクトリにあり、そのままプロジェクトにコピーできる。

結論

Composerパッケージを最新に保つことは、PHPアプリケーションのセキュリティ、パフォーマンス、全体的な健全性を維持するために重要だ。Composer Guardianは、パッケージ更新を最新に保つための使いやすいソリューションを提供し、開発プロセスを合理化するのに役立つ。試してみて、プロジェクトにどのように役立つかを確認してほしい。役立つと思ったらリポジトリにスターを付けることを忘れずに。問題が発生した場合は、自由に貢献したりIssueを開いたりしてほしい。

次に読む

参考資料