# Spleáchais a choinneáil cothrom le dáta: Composer, npm agus forlíontáin

> Pacáistí Composer, modúil npm agus forlíontáin CMS a choinneáil cothrom le dáta: próiseas cothabhála le rithim, freagracht, tástálacha agus plean do chásanna gan paiste.

Foinse: https://phpsos.de/ga/blog/abhaengigkeiten-aktuell-halten/  
Staid: 25/10/2026  
Soláthraí: PHP SOS, Cabhair éigeandála PHP agus slándáil freastalaí. Cabhair láithreach trí WhatsApp: https://wa.me/491736494914?text=Dia%20duit%2C%20a%20PHP%20SOS%2C%20t%C3%A1%20cabhair%20de%20dh%C3%ADth%20orainn%20len%C3%A1r%20bhfreastala%C3%AD%20PHP.%20Cuideachta%3A%20%E2%80%A6%20Su%C3%ADomh%20gr%C3%A9as%C3%A1in%3A%20%E2%80%A6

**Go achomair:** An té ar mhaith leis spleáchais a nuashonrú, tá próiseas de dhíth dó do thrí shaol pacáistí: pacáistí Composer sa chód PHP, modúil npm sa tógáil tosaigh agus forlíontáin nó téamaí sa CMS. Baineann leis sin rithim sheasta, duine freagrach, tástálacha sula n-imscartar agus plean do phacáistí gan nuashonrú. Ní chabhraíonn sé seo i gcoinne PHP2Shell, mar tá an laige sin i PHP féin, ach i gcoinne na laigí go leor i gcód coimhthíoch.

## Trí shaol pacáistí, spota dall amháin

Sa tseachtain tar éis an 21.10.2026 bhí gach rud dírithe ar an ateangaire PHP. Thug a lán foirne faoi deara ansin nach bhfuil leaganacha a mbloc féin ar eolas go cruinn acu. Tá an suíomh ag rith, tá an ghníomhaireacht ag tabhairt aire, tugann an forlíonadh fógra cheana féin nuair a bhíonn rud nua ann: sin nó rud cosúil leis a bhíonn sna toimhdí go dtí go bhfeiceann duine.

Is éard atá i ngnáthionad PHP inniu i bhfad níos mó cód coimhthíoch ná cód féin. Liostaíonn OWASP Top 10 comhpháirteanna so-ghortaithe agus as dáta mar chatagóir riosca ar leith. Is annamh gur uirlis ar iarraidh is cúis leis an bhfadhb, ach gnáthamh ar iarraidh: tarlaíonn nuashonruithe nuair a bhíonn am ag duine, agus críochnaíonn fógraí slándála i mbosca poist nach léann aon duine.

## Cé na spleáchais a nuashonraíonn tú cá háit?

Tá uirlisí agus ceapacha dá gcuid féin ag gach saol pacáistí. Cabhraíonn an forbhreathnú seo a leanas gan aon ní a fhágáil ar lár.

| Saol pacáistí | Stoc a thaispeáint | Laigí a sheiceáil | Ceap tipiciúil |
|---|---|---|---|
| Composer (leabharlanna PHP) | `composer show` | `composer audit` | pacáistí indíreacha nach bhfuil ar eolas ag aon duine |
| npm (tógáil tosaigh) | `npm ls` | `npm audit` | ní shroicheann nuashonrú gan atógáil an freastalaí riamh |
| Forlíontáin agus téamaí CMS | comhéadan riaracháin nó CLI | nótaí monaróra, seirbhísí slándála | forlíontáin tréigthe, forlíontáin ceannaithe gan cainéal nuashonraithe |
| PHP agus eisínteachtaí | bainistiú pacáistí | rianaire slándála an dáilte | insíonn an leagan a thaispeántar beag faoi backports |

Go docht, ní bhaineann an líne dheireanach le spleáchais an fheidhmchláir, ach déantar dearmad uirthi go minic san anáil chéanna. Is amhlaidh do scripteanna a chuimsítear go díreach ó fhreastalaithe coimhthíocha, mar shampla leabharlanna ó CDN, giuirléidí comhrá nó cód rianaithe. Ní bhíonn siad i gcomhad glasála ar bith, ach ritheann siad i mbrabhsálaí do chuairteoirí. Cuir isteach sa liosta iad agus seiceáil an gcuimsítear leaganacha seasta in ionad „an ceann is nuaí i gcónaí“. Tá mionsonraí faoi `composer audit`, comhad glasála agus lánpháirtiú sa tógáil sa treoir [Spleáchais Composer a sheiceáil le haghaidh laigí](https://phpsos.de/ga/ratgeber/composer-abhaengigkeiten-pruefen/). Conas a oibríonn Composer go bunúsach, míníonn [Composer: bainisteoir pacáistí PHP](https://phpsos.de/ga/php/composer/).

## An timthriall cothabhála i sé chéim

Ní gá próiseas stóinsithe a bheith casta. Tá an t-ord seo tástáilte:

1. **Stoc a thaifeadadh:** Do gach tionscadal liosta de na spleáchais dhíreacha le leagan, bunús agus cuspóir. Baineann comhaid ghlasála (`composer.lock`, `package-lock.json`) leis an stór.
2. **Fógraí a bhailiú:** Ritheann uirlisí seiceála le gach tógáil agus go rialta ar an staid seachadta freisin, fiú gan athrú cóid.
3. **Measúnú:** An úsáidtear an pacáiste lena mbaineann i dtáirgeadh, an bhfuil an fheidhm lena mbaineann inrochtana, an bhfuil leagan ceartaithe ann?
4. **Nuashonrú agus tástáil i stáitseáil:** Nuashonruithe slándála laistigh den phríomhleagan céanna ar dtús, pleanáil léim go príomhleagan nua mar thionscadal ar leith.
5. **Imscaradh le cúlbhealach:** Fanann an staid roimhe seo ar fáil mar phacáiste nó eisiúint, cúltaca bunachair sonraí roimh an nuashonrú.
6. **Doiciméadú:** Cad a nuashonraíodh cathain, cad nár nuashonraíodh d'aon ghnó agus cén fáth.

Tabhair aird ar na sonraí leaganacha i `composer.json` agus `package.json`. Cuireann forálacha ró-chaola cosc ar cheartúcháin slándála a shuiteáil ar chor ar bith. Tugann forálacha ró-leathana príomhleaganacha nua isteach sa tionscadal gan seiceáil. Is éifeachtach nuashonruithe laistigh den phríomhleagan a cheadú agus an léim chuig an gcéad cheann eile a phleanáil d'aon ghnó.

I gcás forlíontáin sa CMS is minic is féidir nuashonruithe atá ar fáil a thaispeáint ar an líne ordaithe freisin, in WordPress mar shampla le WP-CLI:

```bash
# Nuashonruithe atá ar fáil a thaispeáint, gan aon ní a athrú
wp plugin list --update=available
wp theme list --update=available
# Pacáistí tosaigh: leaganacha as dáta agus laigí aitheanta
npm outdated
npm audit --omit=dev
```

> **Tábhachtach:**
> Tá nuashonruithe uathoibríocha forlíontán go díreach ar an gcóras táirgthe áisiúil, ach contúirteach mura seiceálann aon duine ina dhiaidh. Cuir ar siúl iad ach amháin má tá cúltaca roimh gach rith agus seiceáil ina dhiaidh cinnte.

## Nuair nach bhfuil nuashonrú ann

Ní féidir gach fógra a réiteach le cliceáil. Idirdhealaíonn Cheat Sheet OWASP maidir le spleáchais so-ghortaithe a láimhseáil roinnt cásanna a n-oirfeadh a n-aistriú go maith don saol laethúil:

- **Paiste ar fáil:** é a chur i stáitseáil, é a thástáil, é a imscaradh. Má bhriseann rud, an cód féin a oiriúnú in ionad an nuashonrú a fhágáil gan chur i bhfeidhm.
- **Paiste fógartha, ach nach bhfuil ann fós:** workaround an mhonaróra a chur i bhfeidhm, an fheidhm lena mbaineann a mhúchadh nó a scagadh más féidir, an cinneadh a thaifeadadh.
- **Gan paiste a bheith ag súil leis:** pacáiste ionaid a lorg nó an ceartúchán a aisphortáil tú féin, le tástáil a dhéanann idirdhealú idir an laige roimh an bpaiste agus ina dhiaidh.

Le forlíontáin CMS tarlaíonn ceathrú cás go minic: tá an forlíonadh tréigthe. Ansin ní chabhraíonn ach ionadach nó baint. Is amhlaidh d'fhorlíontáin ó fhoinsí doiléire, mar shampla cóipeanna „saor in aisce“ de fhorlíontáin cheannaithe. Ní fhaigheann siad nuashonruithe tríd an gcainéal oifigiúil agus ní annamh go bhfuil cód mailíseach iontu iad féin. Cuireann [WordPress agus PHP2Shell](https://phpsos.de/ga/plattformen/wordpress/) leideanna d'oibreoirí WordPress le chéile.

## Freagracht a shoiléiriú sula dtagann an chéad fhógra eile

Is í an chúis is minice le pacáistí as dáta ní constaic theicniúil, ach ceist oscailte: Cé a dhéanann é? I dtionscadail a thóg gníomhaireacht agus a oibrítear go hinmheánach, is minic nach mothaíonn aon duine freagrach. Socraigh do gach tionscadal cé a fhaigheann fógraí, cé a dhéanann measúnú agus cé a thugann cead, agus scríobh síos é.

Pleanáil am freisin. Cuireann dáta cothabhála seasta gach mí, ina seiceáiltear agus ina nuashonraítear spleáchais, cosc ar nuashonruithe a chnuasú thar blianta. Dá fhaide nach nuashonraítear tionscadal, is mó agus is contúirtí an chéad léim eile. Conas a oireann nuashonruithe PHP agus pacáistí do phróiseas cuimsitheach, déanann [Bainistíocht paistí mar phróiseas in ionad briogáid dóiteáin](https://phpsos.de/ga/blog/patch-management-prozess/) cur síos air.

## Conas a chabhraíonn PHP SOS go nithiúil?

- Taifeadaimid spleáchais do thionscadal ó Composer, npm agus CMS agus marcálaimid pacáistí as dáta, so-ghortaithe agus tréigthe.
- Cuirimid seiceálacha uathoibríocha ar bun agus socraímid cé a dhéanann measúnú ar cén fógra.
- Nuashonraímid i stáitseáil, déanaimid na príomhphróisis a thástáil agus imscarann muid le cúlbhealach.
- Mar chuid de [chonradh cothabhála slándála](https://phpsos.de/ga/leistungen/security-wartungsvertrag/) glacaimid leis an timthriall míosúil go buan, nuashonruithe PHP san áireamh.

**Conclúid:** Ní tionscadal é spleáchais cothrom le dáta, ach gnáthamh. An té a shocraíonn stoc, rithim agus freagracht go glan uair amháin, ní bhíonn air ach seiceáil nuair a thagann an chéad fhógra mór eile, gan tosú le cuardach.


## Ceisteanna coitianta

**Cé chomh minic ba cheart spleáchais a nuashonrú?**  
Nuashonruithe slándála chomh luath agus is féidir tar éis measúnaithe, nuashonruithe gnáthaimh i rithim sheasta, mar shampla gach mí. Is tábhachtaí ná an mhinicíocht chruinn go bhfuil an dáta socraithe agus go bhfuil duine freagrach as.

**An gcosnaíonn forlíonadh cothrom le dáta i gcoinne PHP2Shell?**  
Ní chosnaíonn. Tá PHP2Shell san ateangaire PHP féin. Ní chabhraíonn ach nuashonrú PHP le hatosú gach próisis PHP ina choinne. Tá forlíontáin agus pacáistí cothrom le dáta tábhachtach ar aon nós, mar dúnann siad laigí dá gcuid féin.

**Cad a dhéanaim le forlíonadh nach gcothabháiltear a thuilleadh?**  
Cuir ceann eile ina áit nó bain é. Ní fhaigheann forlíonadh tréigthe ceartúcháin a thuilleadh, fiú má oibríonn sé inniu. Go dtí go mbeidh ionadach ann, ba cheart duit a sheiceáil an bhfuil an fheidhm de dhíth i ndáiríre, agus an cinneadh a dhoiciméadú.

**An gcaithfear an tosach le npm a nuashonrú ar an bhfreastalaí freisin?**  
Is minic nach bhfuil pacáistí npm ach sa tógáil agus go dtéann siad chuig an bhfreastalaí mar chomhaid chríochnaithe. D'fhéadfadh laige i bpacáiste a bheith sa JavaScript seachadta fós. Dá bhrí sin ní mór tógáil nua agus seachadadh nua a dhéanamh tar éis nuashonraithe.

## Foinsí

- [OWASP: Vulnerable Dependency Management Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Vulnerable_Dependency_Management_Cheat_Sheet.html)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
- [Composer](https://getcomposer.org/)
- [WordPress](https://wordpress.org/)