Dependency Management & Supply Chain Security

80 bis 95 Prozent deiner Anwendung sind Code, den du nicht geschrieben hast – Frameworks, Bibliotheken, ein transitives Geflecht. Wenn dieser Code kompromittiert wird, ist deine Anwendung kompromittiert.

Sicherheitslücken werden immer schneller gefunden – durch bessere statische Analyse und durch LLM-basierte Werkzeuge. Supply Chain-Angriffe auf Open-Source-Pakete nehmen zu. KI-Agenten fügen Abhängigkeiten hinzu, ohne dass jemand die Konsequenzen prüft. Und Updates werden so lange aufgeschoben, bis irgendwann nichts mehr zusammenpasst.

In dieser Schulung lernst du, Dependency Management und Supply Chain Security zusammen zu denken. Wir behandeln den fortgeschrittenen Einsatz von Composer, Design Patterns wie Adapter zur Entkopplung von Abhängigkeiten, das Bedrohungsmodell der Software Supply Chain und die Automatisierung sicherer Updates. Denn wer Abhängigkeiten nicht versteht, kann sie nicht absichern. Und wer sie absichert, aber nicht aktualisiert, steht beim nächsten Advisory wieder am Anfang.

Ein durchgängiges Beispielprojekt begleitet dich durch alle fünf Sessions: Faktura, das Rechnungswerkzeug einer fiktiven Firma. Ein Kommandozeilenprogramm, das Rechnungen als PDF erzeugt, per Mail verschickt und die Wechselkurse der Europäischen Zentralbank lädt, 2021 für PHP 7.4 geschrieben und zuletzt 2022 aktualisiert. Es funktioniert. Niemand fasst es gern an. Und es benutzt Bibliotheken, die du aus deinen eigenen Projekten kennst: Dompdf, Twig, Guzzle, Monolog, Swift Mailer, Carbon und die Console-Komponente von Symfony.

composer install installiert Faktura klaglos, mitsamt Dutzenden bekannter Sicherheitslücken. composer update verweigert sich, weil der Resolver verwundbare Versionen nicht mehr hereinlässt. Dazu kommen allow-plugins: true, eine Versionsbeschränkung *, ein Script, das bei jeder Installation etwas aus dem Netz lädt, eine kopierte Bibliothek, die composer audit nicht sieht, und Dompdf an vier Stellen im Code.

Jede Session bringt Faktura eine Station weiter: verstanden, konfiguriert, entkoppelt, abgesichert, automatisiert. Du arbeitest selbst daran, in deiner eigenen Kopie auf GitHub, mit CI und Renovate wie in einem echten Projekt. Ein Container für Podman oder Docker bringt alles mit, was die Übungen brauchen. Nach jeder Session gibt es ihren Stand als eigenen Branch, damit alle am nächsten Morgen vom selben Punkt aus weitermachen. Am Ende ist Faktura produktionsreif, abgesichert und automatisiert, und du nimmst es als Referenz mit.

Fünf zweistündige Online-Sessions, vom Symptom zur Lösung zur Absicherung zur Automatisierung. Jede Session liefert ein konkretes Artefakt, das du danach in deinen eigenen Projekten anwenden kannst.

• Session 1 – Lagebild & Composer-Fundament: Reale Vorfälle als Lagebild, Composer-Mechanik unter der Haube, composer.json vs. composer.lock, Semantic Versioning und Plattform-Anforderungen. Dein Ergebnis: die Befundliste für Faktura, aus der der Plan für die Woche folgt.
• Session 2 – Composer für reale Projekte: Private Repositories und Authentifizierung, Composer-Plugins als Sicherheitsthema, Autoloading-Strategien, Scripts und Hooks. Dein Ergebnis: eine composer.json, die beschreibt, was gilt, und ein internes Paket aus einem privaten Repository, mit einem Token, das nirgends im Code liegt.
• Session 3 – Architektur: Abhängigkeiten mit Adapter, Facade und Anti-Corruption Layer entkoppeln, damit Updates und Wechsel keine Kettenreaktion auslösen, und erkennen, wo Entkopplung nur Komplexität hinzufügt. Dein Ergebnis: eine Abhängigkeitskarte und zwei Major-Wechsel, die jeweils eine Stelle im Code berühren statt vier.
• Session 4 – Supply Chain Security: Bedrohungsmodell mit Tiefe (SBOM, SLSA, Typosquatting, Account-Hijacking), composer audit in der Praxis, Composer-Policies gegen verwundbare, bösartige und aufgegebene Versionen, LLM-basierte Sicherheitswerkzeuge. Dein Ergebnis: ein Bedrohungsmodell, eine Composer-Policy mit begründeten Entscheidungen, eine SBOM und ein Release-Gate.
• Session 5 – Updates automatisieren: Renovate konfigurieren, CI als Sicherheitsnetz und die CI selbst härten, PHP-Major-Updates mit Rector, Guardrails für KI-Agenten im Update-Prozess. Dein Ergebnis: ein gehärteter Workflow, eine renovate.json und Guardrails, die auch ein KI-Agent nicht umgeht.

• Semantic Versioning verstehen und Versionsbeschränkungen in Composer gezielt einsetzen
• Composer für reale Projekte konfigurieren: private Repositories, Plattform-Anforderungen, Authentifizierung, Autoloading
• Abhängigkeiten mit Adapter, Facade und Anti-Corruption Layer architektonisch entkoppeln
• Das Bedrohungsmodell der Software Supply Chain verstehen und Audit-Funde fundiert bewerten
• Updates mit Renovate automatisieren, abgesichert durch CI
• Erkennen, was LLM-basierte Sicherheitswerkzeuge leisten und wo ihre Grenzen sind
• Guardrails für KI-Agenten etablieren, die Abhängigkeiten hinzufügen

• PHP-Entwicklerinnen und -Entwickler, die Composer nutzen, aber bei Konfiguration und Versionsbeschränkungen unsicher sind
• Teams, die Updates immer wieder aufschieben, weil sie Breaking Changes erwarten
• Entwicklerinnen und Entwickler, die Supply Chain-Risiken ernst nehmen und ihre Lieferkette absichern wollen
• Tech Leads, Architektinnen und Architekten, die einen tragfähigen Update- und Audit-Prozess etablieren wollen
• Teams, in denen KI-Agenten Abhängigkeiten hinzufügen, ohne dass jemand die Konsequenzen prüft
• Sicherheitsverantwortliche, die verstehen wollen, was in der Composer-Welt möglich und üblich ist

Du solltest ein paar Monate Erfahrung mit PHP oder einer ähnlichen Programmiersprache mitbringen. Grundlegende Composer-Kenntnisse (require, install, update) sind hilfreich, aber keine Voraussetzung: Wir beginnen bei dem, was Composer bei install und update tatsächlich tut. Erfahrung mit automatisierten Tests brauchst du nicht, das Beispielprojekt bringt seine Tests mit.

Für die Übungen brauchst du eine lokale PHP-Entwicklungsumgebung (PHP 8.2 oder neuer, Composer 2.10 oder neuer, Git, ein Terminal) und einen Editor deiner Wahl. Statt PHP und Composer genügt Podman oder Docker: Ein Container mit allem, was die Übungen brauchen, liegt bereit. Außerdem brauchst du ein GitHub-Konto für deine eigene Kopie des Beispielprojekts; ein kostenloses genügt.

• Konfiguriere Composer gezielt für reale Anforderungen, inklusive privater Repositories, Plattform-Anforderungen und Authentifizierung
• Setze Versionsbeschränkungen bewusst ein und wisse, wann welcher Operator passt
• Entkopple Abhängigkeiten architektonisch, sodass Updates und Wechsel keine Kettenreaktion auslösen
• Verstehe das Bedrohungsmodell der Software Supply Chain und bewerte Audit-Funde fundiert
• Automatisiere Updates mit Renovate, abgesichert durch CI, sodass dein Projekt dauerhaft aktuell bleibt
• Erkenne, was LLM-basierte Sicherheitswerkzeuge leisten und wo ihre Grenzen sind
• Entwickle ein Vorgehen für KI-Agenten, die Abhängigkeiten hinzufügen
• Nimm Faktura im Endstand als Referenz für deine eigenen Projekte mit: Composer-Policies, SBOM, gehärtete CI, Renovate und Guardrails