Patch-Rhythmus
Diese Seite richtet sich an Administratorinnen und Administratoren, Hosting-Teams und Projektverantwortliche, die dafür zuständig sind, eine öffentliche Website aktuell zu halten. Das Schwachstellenmanagement verlangt meist, dass bekannte Schwachstellen innerhalb festgelegter Fristen gepatcht werden. Exponential und seine Erweiterungen sind Composer-Pakete mit unveränderlichen Releases; die folgende Routine folgt 13.15 Auf dem aktuellen Stand bleiben.
Inhalt
- Was zu beobachten ist
- Wie Exponential veröffentlicht
- Eine Routine
- Aufzubewahrende Nachweise
- Verwandte Seiten
Was zu beobachten ist
| Komponente | Wie Sie sehen, was neu ist |
|---|---|
| Exponential und seine Erweiterungen | composer outdated; die Changelogs (doc/changelogs/); GitHub-Releases |
| Composer-Abhängigkeiten | composer audit listet bekannte Schwachstellen in den festgeschriebenen Abhängigkeiten |
| PHP, Datenbankserver, Betriebssystem | die Sicherheitsmeldungen Ihrer Distribution oder Ihres Herstellers |
| Die Engine von Velocity und FrankenPHP | Releases der Engine; Version und Prüfsummen von FrankenPHP sind in velocity.ini [FrankenPHPSettings] festgeschrieben |
request-shield in exp_request_shield (seit 6.0.15 Teil der Standardinstallation) | die Releases der Erweiterung, die die enthaltene Version der Bibliothek nennen |
Die CI des Projekts führt keinen Schwachstellenscan der Abhängigkeiten aus
(Sicherheitsstandards: bekannte Lücken), daher ist composer audit Ihre
Aufgabe.
Wie Exponential veröffentlicht
- 6.0 ist die gepflegte Linie; Korrekturen gehen nach
mainund erscheinen mit dem nächsten Release 6.0.x (SECURITY.md). - Release-Tags werden nie geändert; eine Korrektur ist immer eine neue Version.
- Jedes Release hat ein Changelog und, wo nötig, Hinweise zum Upgrade (Aktualisieren).
Eine Routine
| Wann | Tun |
|---|---|
| wöchentlich | composer outdated und composer audit auf der Lock-Datei der Produktion; Sicherheitsmeldungen lesen |
| monatlich (oder sofort bei Sicherheitskorrekturen) | in einer Kopie aktualisieren, testen, dann die Produktion |
| nach jedem Update | Dateikonsistenzprüfung, Smoke-Test, Audit-Prüfung |
Die Schritte des Updates aus der Installationsanleitung:
- In einer Kopie der Website:
composer update <package>, die Datenbank-Updates ausführen, die das Release nennt, dann./console exp:velocity deploy --allow-root-user(oder Autoloads, Cache leeren und PHP-FPM von Hand neu laden). - Testen Sie die wichtigsten redaktionellen Aufgaben und die öffentlichen Seiten; führen Sie Ihre Stichproben zu Barrierefreiheit und Sicherheit durch.
- Wiederholen Sie das auf der Produktion in einem Wartungsfenster (Wartungsmodus).
- Setup > Upgrade-Prüfung: Datei- und Datenbankkonsistenz (Die Upgrade-Prüfung).
./console exp:audit verify --allow-root-user.
Halten Sie composer.lock in der Versionsverwaltung, damit die Produktion genau das installiert, was Sie getestet
haben.
Aufzubewahrende Nachweise
- Datum, Versionen vorher und nachher, wer aktualisiert hat;
- Ausgabe von
composer auditvorher und nachher; - Ergebnis der Dateikonsistenzprüfung;
- bei Sicherheitskorrekturen: die Zeit vom Release bis zur Produktion, gemessen am Ziel Ihrer Richtlinie.
Verwandte Seiten
- 13.15 Auf dem aktuellen Stand bleiben
- Aktualisieren
- Updates und Upgrades für Website-Ersteller
- Freie Dokumentation: Diese Seite darf unter der GNU FDL 1.3 frei kopiert, übersetzt und verbessert werden.
Werden Sie Exponential-Partner
Partner teilen ihre Informationen, stellen Mittel bereit, geben Beiträge zurück und entwickeln die Produkte mit uns, und so wächst Exponential. Eine Partner-Website und ein Dashboard sind für Mitte 2027 geplant: Werden Sie noch heute Partner, damit wir schneller wachsen und neue Funktionen früher liefern.