Composer 2.11发布原生依赖冷静期配置

发生了什么

据Socket报道，Composer 2.11版本正式引入依赖冷静期（dependency cooldowns）功能。该功能允许开发者设置新发布包版本的安装延迟时间，旨在防范供应链攻击。该配置默认关闭，支持通过config.policy.cooldown设置小时、天或周的等待期，并使用Packagist记录的发布时间戳以防止攻击者伪造日期。开发者可通过--no-cooldown参数绕过限制，或通过ignore设置特定包的豁免。