/composer.lock /composer.jsonを非公開にする

プログラム

2026.05.192026.05.23

WordPressでの対応
1. ⚠️ どんな情報が漏れるか
  1. 🔧 対処法
  2. ✅ 動作確認

WordPressでの対応

自分の環境では表題のものが見える状態だったのでAIに聞いた対処方を備忘録として残します。

⚠️ どんな情報が漏れるか

composer.json

使用しているライブラリとバージョン範囲
プロジェクト構成の情報

composer.lock

インストール済みライブラリの正確なバージョン
依存関係の詳細なハッシュ情報

攻撃者はこの情報をもとに、既知の脆弱性を持つバージョンを特定して標的にすることができます。

🔧 対処法

Nginxの場合

location ~* /(composer\.(json|lock))$ {
    deny all;
    return 404;
}

location ~* /(composer\.(json|lock))$ {

deny all;

return 404;

}

Apacheの場合（.htaccessに追記）

<FilesMatch "^(composer\.(json|lock)|\.env)$">
    Require all denied
</FilesMatch>

// または

<FilesMatch "^(composer\.(json|lock)|\.env|artisan)$">
    Require all denied
</FilesMatch>

Require all denied

</FilesMatch>

// または

Require all denied

</FilesMatch>

追記する場所は、既存の # BEGIN WordPress より上が安全です：

✅ 動作確認

保存後、ブラウザで以下にアクセスして 403 Forbidden になればOKです：

https://あなたのドメイン/composer.json
https://あなたのドメイン/composer.lock

1 2	https://あなたのドメイン/composer.json https://あなたのドメイン/composer.lock