可以通过一下地址学习
composer
：
学习地址
在开发drupal项目时，如果将vendor目录放在http服务器的docroot中，可能会面临安全风险。这是因为vendor目录中可能包含一些可执行文件和测试目录，如果不加以处理，可能会被恶意利用。最近，我在处理一个drupal项目时遇到了这个问题，尝试了多种方法来增强安全性，但效果不佳。
最后，我发现了
这个Composer插件，它专门用于解决这个问题。这个插件可以自动清理vendor目录中的多余目录，特别是那些可能包含可执行文件的测试目录。它还会在vendor目录的根目录添加一个
文件，以防止web服务器直接访问vendor目录中的文件。
使用
非常简单，只需在你的项目中通过Composer安装它：
安装或更新时，这个插件会自动检查每个包，并移除它所知道的多余目录。对于Drupal核心包，这个插件已经预设了清理规则。如果你需要清理其他包，可以在
的
字段中进行配置。例如：
上述配置会告诉插件在安装或更新
包时，移除其
和
目录。
Composer 2.9.6
Composer 2.9.6 是 PHP 生态中高效、稳定的依赖管理工具。此版本在性能与兼容性上进一步优化，改进了依赖解析算法，提升大型项目中的安装与更新速度。它支持并行下载任务，显著减少等待时间，并增强了与私有仓库及镜像源的交互稳定性。同时修复了多项命令行交互与内存使用相关的缺陷，确保在复杂依赖关系下依然可靠运行。无论是新项目初始化还是现有系统维护，Composer 2.9.6 都能为开发者提供流畅、精准的依赖管理体验。
下载
对于通过
安装在vendor目录之外的包，你也可以配置插件进行清理。例如，对于一个名为
的Drupal模块包，可以这样配置：
这会让插件尝试移除
和
目录。
使用
插件，不仅大大增强了我的Drupal项目的安全性，还简化了配置过程。这个插件的优势在于它自动化了清理过程，并且可以通过简单配置扩展到其他包。实际应用中，它显著提高了项目的安全性，使我能够更放心地将vendor目录放在docroot中。
drupal/core-vendor-hardening.htaccessdrupal/core-vendor-hardeningcomposer require drupal/core-vendor-hardeningcomposer.jsonextra"extra": {
"drupal-core-vendor-hardening": {
"vendor/package": ["test", "documentation"]
}
}vendor/packagetest/documentation/composer/installersdrupal/module_name"extra": {
"drupal-core-vendor-hardening": {
"drupal/module_name": ["tests", "src/Tests"]
}
}web/modules/contrib/module_name/testsweb/modules/contrib/module_name/src/Testsdrupal/core-vendor-hardening