composer v4.3.3

laravel/sanctum のOSSカルテ

最終確認 2026年9月15日 02:15

9 観測できた項目

3 データが取得できない項目

laravel/sanctum は 2026年9月15日時点で公開されている OSS です。当サイトで確認した範囲では、採用前に確かめておきたい点は見つかりませんでした。採用の可否は、使う版の既知の脆弱性・ライセンス・必要な機能を合わせてご判断ください。

リポジトリとの紐付け

リポジトリ紐付け: 検証済み

リポジトリ内のマニフェストに、同じパッケージ名が記載されていることを確認しました。

deps.dev の relatedProjects: UNVERIFIED_METADATA
リポジトリ内のマニフェストに、同じパッケージ名が記載されています

github.com/laravel/sanctum

確認すべき点（0件）

当サイトで確認できた範囲では、確かめておきたい点は見つかりませんでした。 これは「問題が無い」という保証ではありません。 観測できなかった項目が 3 件あります。

OpenSSF Scorecard の評価

開発プロセスを自動で調べた結果です。 点が低いことは「確認できていない」を意味することが多く、そのまま危険を表すものではありません。 各項目の読み方は解説にまとめています。

CII-Best-Practices 0 / 10

Fuzzing 0 / 10

Code-Review 3 / 10

Branch-Protection 3 / 10

Maintained 4 / 10

SAST 4 / 10

Binary-Artifacts 10 / 10

License 10 / 10

Security-Policy 10 / 10

Dangerous-Workflow 判定不能外部からは確かめられませんでした

Packaging 判定不能外部からは確かめられませんでした

Token-Permissions 判定不能外部からは確かめられませんでした

Pinned-Dependencies 判定不能外部からは確かめられませんでした

Signed-Releases 判定不能外部からは確かめられませんでした

観測した項目

確認できたライセンス MIT として公開されています。実際の利用条件は、リポジトリ内の LICENSE 原文をご確認ください。当サイトは法的な判断をしません。読み方

確認できた既知の脆弱性版 v4.3.3 に影響する未修正の Advisory は見つかりませんでした。これは「脆弱性が無い」という意味ではありません。まだ公開されていないものは、ここには出てきません。読み方

確認できたリポジトリとの紐付け github.com/laravel/sanctum と結び付いています。リポジトリ内のマニフェストに、同じパッケージ名が記載されていることを確認しました。

確認できた直近の更新最後の push は 2026年8月4日です。読み方

確認できたリリース直近のリリースは 2026年7月21日です。読み方

確認できた Code-Review OpenSSF Scorecard の評価は 3 / 10 です。読み方

データが取得できない Dangerous-Workflow 判定できませんでした（Scorecard が -1 を返しています）。公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。読み方

データが取得できない Token-Permissions 判定できませんでした（Scorecard が -1 を返しています）。公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。読み方

データが取得できない Signed-Releases 判定できませんでした（Scorecard が -1 を返しています）。公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。読み方

確認できた Security-Policy OpenSSF Scorecard の評価は 10 / 10 です。読み方

確認できた Branch-Protection OpenSSF Scorecard の評価は 3 / 10 です。読み方

確認できた貢献者 30名の貢献が記録されています。読み方

OpenSSF Scorecard

4.9 / 10

これは OpenSSF が算出した値で、当サイトの評価ではありません。 点が低いことは「危険」ではなく「その項目が確認できていない」を意味することが多くあります。各項目の読み方は指標の読み方にまとめています。
生成日: 2026-09-07

Code-Review Found 8/22 approved changesets -- score normalized to 3 3 / 10

Dangerous-Workflow no workflows found 判定不能

Packaging packaging workflow not detected 判定不能

Token-Permissions No tokens found 判定不能

Maintained 5 commit(s) and 0 issue activity found in the last 90 days -- score normalized to 4 4 / 10

Binary-Artifacts no binaries found in the repo 10 / 10

Pinned-Dependencies no dependencies found 判定不能

CII-Best-Practices no effort to earn an OpenSSF best practices badge detected 0 / 10

Fuzzing project is not fuzzed 0 / 10

License license file detected 10 / 10

Signed-Releases no releases found 判定不能

Security-Policy security policy file detected 10 / 10

Branch-Protection branch protection is not maximal on development and all release branches 3 / 10

SAST SAST tool is not run on all commits -- score normalized to 4 4 / 10

当サイトの観測

直近のリリースからの経過	55 日
リリース間隔の中央値	14 日（直近30件から算出）
記録されている貢献者	30 名（上位30名まで）
最多貢献者の割合	40.6 %

⭐ Stars	2,981
月間ダウンロード	8,826,505

採用前に確認すること

☐ ライセンスを確認した
☐ 使うバージョンの脆弱性を確認した
☐ パッケージとリポジトリの紐付けを確認した
☐ 保守の状態を確認した
☐ 脆弱性の報告先を確認した
☐ 代替手段を確認した
☐ 更新が止まったときの対応を決めた

詳しくは採用前の7項目チェックリストをご覧ください。

出典

ソース	状態
OSV.dev	取得しました
GitHub	取得済み（保存していた内容）
Packagist	取得しました
OpenSSF Scorecard	取得しました
GitHub — リリース	取得済み（保存していた内容）
GitHub — 貢献者	取得済み（保存していた内容）

Open Source Insights (deps.dev) が生成したデータは CC-BY 4.0 のもとで利用しています。 OpenSSF Scorecard のスコアは OpenSSF が算出したものです。詳しくはデータの出典をご覧ください。

OSSカルテの見方

Laravel の API 認証パッケージです。 2つの使い方があり、同じ画面のフロントエンド向けにはセッションの Cookie を、外部のクライアント向けには API トークンを提供します。トークンには権限（ability）を持たせられます。

採用を検討するときに迷う点

2つの方式が1つのパッケージに入っています。 どちらを使っているのかを取り違えると、原因の分かりにくい失敗になります。

方式	用途
SPA 認証（Cookie）	同じサイトのフロントエンド
API トークン	外部のクライアント、モバイル

静かに壊れる箇所

tokenCan() は、トークンを使っていないとき常に真を返します。 セッションで認証された利用者にはトークンが存在しないため、 すべての権限を持っていると判定されます。 SPA 認証と API トークンを1つのアプリで併用していると、 権限の絞り込みが片方だけ効かない状態になります。 currentAccessToken() の有無で分岐してください
トークンの有効期限は既定で無期限です。 設定しないかぎり、発行したトークンは失効しません。 期限を設けるには設定と、期限切れを掃除する仕組みの両方が要ります
SPA 認証は前提条件が多く、揃わないと常に 401 になります。 対象ドメインの設定、Cookie を送る指定、最初に CSRF 用の Cookie を取得すること、同一サイト扱いになること。 どれか1つ欠けても、エラーの見た目は同じです
トークンは発行時にしか平文を見られません。 保存されるのはハッシュです。控えを取り損ねたら作り直しになります

選ぶときに考えること

同じサイトのフロントエンドだけなら、そもそも標準のセッション認証で足ります。 Sanctum を入れる理由は、外部クライアントへトークンを配る必要があるかどうかです。

サードパーティに認可を与える（他社のサービスが利用者の代理でアクセスする）用途には向きません。その場合は OAuth 2.0 の仕組みが要ります。

同じ目的のOSSとの関係

Laravel 標準のセッション認証は、同一サイトのフロントエンドには十分です。追加の依存が要らず、仕組みも単純になります。

laravel/passport は OAuth 2.0 の実装です。サードパーティへの認可が必要な場合はこちらになります。そのぶん複雑です。

tymon/jwt-auth など JWT を使う方式は、サーバー側に状態を持たない構成に向きます。ただし失効の扱いを自分で設計する必要があります。

ここは当サイトによる説明です。上の観測結果とは分けて表示しています。

リリースと活動の履歴

GitHub が公開している記録から遡ったものです。 当サイトの計測開始より前も含みます。

記録のある最初のリリース: 2020年1月21日; 遡れた 79 件のうち最も古いもの

8 直近12か月のリリース

13日リリース間隔の中央値

プレリリースは数えていません。平均ではなく中央値を出しています（1度だけ間が空いた年があると平均は歪むため）。

年ごとのリリース本数

24 20 15 21 7 22 12 23 8 24 6 25 7 26

最も多い年で 24 本。 本数の多さは、そのまま良し悪しを表しません。 細かく出す方針のプロジェクトと、まとめて出す方針のプロジェクトがあります。

週ごとのコミット数（直近52週）

合計 34 コミット / 最も多い週で 6 コミット。 GitHub の集計によるもので、マージコミットの扱いなど数え方は GitHub に従います。

当サイトでの観測の記録

当サイトでの計測開始: 2026年8月31日; 15日ぶん / 18回の観測

観測した変化

2026年9月15日
- OpenSSF Scorecard が 5.7 → 4.9 に変わりました
2026年8月31日
- 初回の観測

記録が短いため、推移のグラフは表示していません。

OpenSSF Scorecard のスコアと脆弱性情報の状態は、 当サイトの計測開始より前には遡れません。 公開元が過去の値を残していないためです。リリース日や最終コミット日など、上の観測結果に出ている日付は GitHub などの記録によるもので、計測開始より前のものも含みます。

同じ目的のOSS

laravel/framework 前提となるフレームワーク