Parser di composer.json o composer.lock con statistiche del progetto (numero pacchetti, vincoli PHP, estensioni richieste, breakdown require vs require-dev), EOL detection per i pacchetti PHP più diffusi (Laravel, Symfony, PHPUnit, Guzzle, Monolog, Flysystem, Doctrine), raccomandazioni di security advisories e di best practice (composer audit, roave/security-advisories). Strumento di triage: NON è un vuln scanner real-time.
composer.json: file che committi in git, contiene i constraint dichiarati (es. "laravel/framework": "^11.0"). composer.lock: file generato da composer install/update, contiene le versioni esatte risolte (es. 11.5.0). Per audit vero serve il lock perché contiene le versioni effettive.
Il tool auto-detect il tipo: presenza di top-level packages array -> lock; presenza di require object con vincoli stringa -> json. JSON parsing strict: errori di sintassi falliscono con messaggio chiaro.
Output: statistiche progetto (pacchetti totali, breakdown require/dev, PHP constraint, estensioni) + findings ordinati per severita\' (pacchetti EOL critici, EOL noti, deprecazioni, raccomandazioni). Ogni finding ha riferimento al pacchetto, motivazione, remediation suggerita.
Per CVE check effettivo: dal terminale composer audit (comando ufficiale, dal 2.4, 2022). In aggiunta composer require --dev roave/security-advisories:dev-latest: blocca l'install di pacchetti con CVE noti via meta-pacchetto FriendsOfPHP. Best practice: integrare composer audit in CI/CD.
Triage statico, non vuln scan. Il tool conosce un set curato di pacchetti PHP popolari con le rispettive date di end-of-life (security support) e flag di deprecation pubblici, e segnala major version troppo arretrate o pacchetti già fuori supporto. Non interroga database CVE remoti (FriendsOfPHP/security-advisories, Snyk DB, NVD): non sostituisce composer audit CLI o GitHub Dependabot, lo precede.
Quando il triage statico è esattamente quello che serve. Casi tipici: review di un progetto legacy senza accesso al filesystem, in cui il cliente ti incolla un composer.json in mail e vuole una valutazione in trenta secondi; audit pre-incarico per stimare lo sforzo di adeguamento prima di firmare un preventivo; screen iniziale prima di un assessment di sicurezza vero e proprio. Output: lista di rischi noti (Laravel 8 EOL, PHPUnit 9 EOL su PHP 8.4, Monolog 2 EOL) che meritano follow-up con un check CVE rigoroso.
Privacy operativa. Il file composer.lock contiene la struttura completa del progetto, le sue dipendenze transitive e gli eventuali pacchetti privati con riferimenti a repository VCS interni. Non vuoi caricarlo a un servizio terzo per un'analisi preliminare. La rilevazione EOL avviene direttamente nel browser sul testo che incolli.
Limite di scope. Il tool segnala pacchetti EOL e major-version-behind. Non segnala CVE specifiche. Per il check reale di vulnerabilità l'approccio canonico è composer audit da CLI (comando ufficiale Composer dal 2.4, Settembre 2022), roave/security-advisories come dev dependency che blocca l'install di pacchetti con CVE noti, oppure Dependabot/Renovate integrati nel repository.
Lista curata di pacchetti PHP popolari con riferimento alle date di end-of-life (security support):
symfony/*): 4.x (EOL 2023-11), 5.x (5.4 LTS EOL 2024-11, security extended 2025-11), 6.x (6.4 LTS EOL 2025-11), 7.x (current)PHP version constraint: il tool segnala se il vincolo include versioni EOL: 7.0/7.1/7.2/7.3 (EOL prima del 2022), 7.4 (EOL 2022-11), 8.0 (EOL 2023-11), 8.1 (security 2025-12). Versioni supportate al momento: 8.2, 8.3, 8.4 (LTS attivo).
Termini tecnici usati in questa pagina, spiegati in due righe.
^11.0), autoload PSR-4. Committato in git. composer install/update. Contiene le versioni esatte risolte di ogni pacchetto + content-hash + timestamp. Garantisce build deterministica fra dev e production. Committato in git (best practice). ^1.2 = SemVer compatible (>=1.2 <2.0), ~1.2 = patch-level (>=1.2 <1.3), 1.2.* = wildcard, >=1.2 = open. Best practice: ^X.Y per dipendenze stabili, ~X.Y.Z per dipendenze conservative. roave/security-advisories. composer require --dev roave/security-advisories:dev-latest. Zero overhead runtime. composer.lock contiene le versioni esatte risolte: il tool puo\' verificare se la versione X.Y.Z e\' EOL. composer.json contiene solo i constraint (^11.0): il tool non sa quale versione effettiva e\' installata, puo\' segnalare solo problemi a livello di constraint (es. laravel/framework: ^8.0 e\' un constraint EOL perche\' Laravel 8 e\' EOL). Per audit precisi usa il lock.composer audit CLI o GitHub Dependabot.composer audit CLI e\' piu\' veloce e accurato. Il nostro tool e\' utile per progetti tipici (10-100 deps) di consulenza/PMI.composer audit con database CVE completo.symfony/* con la stessa policy LTS della release principale (Symfony 5.4 LTS = symfony/console:5.4 LTS, ecc). Eccezioni rare (alcuni componenti hanno cicli leggermente diversi) sono ignorate per semplificare.>=8.2 minimo nel constraint, anche se in production hai 8.4. Comunica intent + previene install accidentale su VPS legacy.composer audit --abandoned=report --format=json nel job di test. Exit code != 0 se ci sono CVE attive. GitHub Actions: stesso comando, opzionalmente con tj-actions/composer-audit. Pre-commit hook: aggiungi composer audit al .husky/pre-commit o git/hooks/pre-commit. Best practice: anche su tag releases, non solo PR.composer.json (campo abandoned). Deprecated: il pacchetto e\' ancora maintained ma sostituito da una versione successiva (es. league/flysystem 1.x deprecato in favor di 2.x). EOL: il maintainer non rilascia piu\' security update sulla branch (es. Symfony 5.4 dopo nov 2025). Tutti e tre richiedono migration.>=7.0 per supportare downstream legacy), version pinning di test framework EOL.JSON.parse) e tutta la logica di matching e\'. ~10KB totali. Il curated EOL set e\' inline nel file JS, aggiornato periodicamente con i rilasci dei progetti monitorati.Questo tool è un triage. Per un audit completo della supply chain ICT (in scope NIS2 art. 21 c.2 lett. d): inventario delle dipendenze, monitoring CVE in continuo, policy di update, EOL tracking, hardening della pipeline CI/CD, signing dei deploy. Lavoro su progetti Laravel, Symfony e PHP custom.
Audit supply chain PHPWizard di 7 domande, 2 minuti, gratuito. Output: range di giorni-uomo, range di prezzo orientativo e raccomandazione di ingaggio. Tariffa di riferimento 300 euro al giorno. Pensato per progetti backend custom, integrazioni, audit di sicurezza o automazione AI.
Calcola il preventivo