Dependency Management & Supply Chain Security

80 bis 95 Prozent deiner Anwendung sind Code, den du nicht geschrieben hast – Frameworks, Bibliotheken, ein transitives Geflecht. Wenn dieser Code kompromittiert wird, ist deine Anwendung kompromittiert.

Sicherheitslücken werden immer schneller gefunden – durch bessere statische Analyse und durch LLM-basierte Werkzeuge. Supply-Chain-Angriffe auf Open-Source-Pakete nehmen zu. KI-Agenten fügen Abhängigkeiten hinzu, ohne dass jemand die Konsequenzen prüft. Und Updates werden so lange aufgeschoben, bis irgendwann nichts mehr zusammenpasst.

In dieser Schulung lernst du, Dependency Management und Supply Chain Security ganzheitlich zu denken. Wir behandeln den fortgeschrittenen Einsatz von Composer, Design Patterns wie Adapter zur Entkopplung von Abhängigkeiten, das Bedrohungsmodell der Software Supply Chain und die Automatisierung sicherer Updates. Du bekommst die Werkzeuge, das mentale Modell und die Praktiken, um Abhängigkeiten dauerhaft im Griff zu behalten – auch wenn die Bedrohungslage sich weiter verschärft.

Ein durchgängiges Beispielprojekt begleitet dich durch alle fünf Sessions: Es startet als schlecht gewartetes Projekt und wird Schritt für Schritt zu einem produktionsreifen, abgesicherten und automatisierten Projekt ausgebaut, das du nach der Schulung als Referenz mitnimmst.

Fünf zweistündige Online-Sessions, vom Symptom zur Lösung zur Absicherung zur Automatisierung. Jede Session liefert ein konkretes Artefakt, das du danach in deinen eigenen Projekten anwenden kannst.

• Session 1 – Lagebild & Composer-Fundament: Reale Vorfälle als Lagebild, Composer-Mechanik unter der Haube, composer.json vs. composer.lock, Semantic Versioning und Plattform-Anforderungen.
• Session 2 – Composer für reale Projekte: Private Repositories und Authentifizierung, Composer-Plugins als Sicherheitsthema, Autoloading-Strategien, Scripts und Hooks.
• Session 3 – Architektur: Abhängigkeiten mit Adapter, Facade und Anti-Corruption Layer entkoppeln, damit Updates und Wechsel keine Kettenreaktion auslösen.
• Session 4 – Supply Chain Security: Bedrohungsmodell mit Tiefe (SBOM, SLSA, Typosquatting, Account-Hijacking), composer audit in der Praxis, Roave Security Advisories, LLM-basierte Sicherheitswerkzeuge.
• Session 5 – Updates automatisieren: Renovate konfigurieren, CI als Sicherheitsnetz, PHP-Major-Updates mit Rector, Guardrails für KI-Agenten im Update-Prozess.

• Semantic Versioning verstehen und Versionsbeschränkungen in Composer gezielt einsetzen
• Composer für reale Projekte konfigurieren: private Repositories, Plattform-Anforderungen, Authentifizierung, Autoloading
• Abhängigkeiten mit Adapter, Facade und Anti-Corruption Layer architektonisch entkoppeln
• Das Bedrohungsmodell der Software Supply Chain verstehen und Audit-Funde fundiert bewerten
• Updates mit Renovate automatisieren, abgesichert durch CI
• Erkennen, was LLM-basierte Sicherheitswerkzeuge leisten und wo ihre Grenzen sind
• Guardrails für KI-Agenten etablieren, die Abhängigkeiten hinzufügen

• PHP-Entwickler:innen, die Composer nutzen, aber bei Konfiguration und Versionsbeschränkungen unsicher sind
• Teams, die Updates immer wieder aufschieben, weil sie Angst vor Breaking Changes haben
• Entwickler:innen, die Supply-Chain-Risiken ernst nehmen und ihre Lieferkette absichern wollen
• Tech Leads und Architekt:innen, die einen tragfähigen Update- und Audit-Prozess etablieren wollen
• Teams, in denen KI-Agenten Abhängigkeiten hinzufügen, ohne dass jemand die Konsequenzen prüft
• Sicherheitsverantwortliche, die verstehen wollen, was in der Composer-Welt möglich und üblich ist

Du solltest ein paar Monate Erfahrung mit PHP oder einer ähnlichen Programmiersprache mitbringen. Grundlegende Composer-Kenntnisse (require, install, update) sind hilfreich, aber keine Voraussetzung – wir bauen das mentale Modell von Grund auf neu auf. Für die Übungen brauchst du eine lokale PHP-Entwicklungsumgebung (PHP 8.2 oder neuer, Composer, Git, ein Terminal) und einen Editor deiner Wahl.

• Konfiguriere Composer gezielt für reale Anforderungen – inklusive privater Repositories, Plattform-Anforderungen und Authentifizierung
• Setze Versionsbeschränkungen bewusst ein und weißt, wann welcher Operator passt
• Entkopple Abhängigkeiten architektonisch, sodass Updates und Wechsel keine Kettenreaktion auslösen
• Verstehe das Bedrohungsmodell der Software Supply Chain und bewerte Audit-Funde fundiert
• Automatisiere Updates mit Renovate, abgesichert durch CI, sodass dein Projekt dauerhaft aktuell bleibt
• Erkenne, was LLM-basierte Sicherheitswerkzeuge leisten und wo ihre Grenzen sind
• Habe ein Vorgehen für KI-Agenten, die Abhängigkeiten hinzufügen