OSSカルテ
composer 3.0.2

psr/log のOSSカルテ

最終確認 2026年9月15日 02:15

8 観測できた項目
2 確認すべき点
4 データが取得できない項目

psr/log は 2026年9月15日 時点で、直近 24 か月に新しいリリースが確認できません。ただし完成して仕様が固まったライブラリは更新が少なくなるため、これだけで保守の終了を意味するわけではありません。

リポジトリとの紐付け

リポジトリ紐付け: 検証済み

リポジトリ内のマニフェストに、同じパッケージ名が記載されていることを確認しました。

  • deps.dev の relatedProjects: UNVERIFIED_METADATA
  • リポジトリ内のマニフェストに、同じパッケージ名が記載されています

github.com/php-fig/log

確認すべき点（2件）

確認すべき リリース 直近のリリースは 2024年9月（約 24 か月前）です。 ★更新が少ないことは、保守の終了を意味しません。完成して仕様が固まったライブラリは、直す場所が無いため更新が止まります。必要なときに動くかどうかは、Issue への反応で確かめられます。 読み方
確認すべき Security-Policy OpenSSF Scorecard の評価は 0 / 10 です。 ★点が低いことは「危険」ではなく「その項目が確認できていない」を意味することが多くあります。詳しくは解説をご覧ください。 読み方

OpenSSF Scorecard の評価

開発プロセスを自動で調べた結果です。 点が低いことは「確認できていない」を意味することが多く、そのまま危険を表すものではありません。 各項目の読み方は解説にまとめています。

Maintained 0 / 10
CII-Best-Practices 0 / 10
Fuzzing 0 / 10
Security-Policy 0 / 10
SAST 0 / 10
Code-Review 10 / 10
Binary-Artifacts 10 / 10
License 10 / 10
Pinned-Dependencies 判定不能 外部からは確かめられませんでした
Packaging 判定不能 外部からは確かめられませんでした
Dangerous-Workflow 判定不能 外部からは確かめられませんでした
Token-Permissions 判定不能 外部からは確かめられませんでした
Signed-Releases 判定不能 外部からは確かめられませんでした
Branch-Protection 判定不能 外部からは確かめられませんでした

観測した項目

確認できた ライセンス MIT として公開されています。 実際の利用条件は、リポジトリ内の LICENSE 原文をご確認ください。当サイトは法的な判断をしません。 読み方
確認できた 既知の脆弱性 版 3.0.2 に影響する未修正の Advisory は見つかりませんでした。 これは「脆弱性が無い」という意味ではありません。まだ公開されていないものは、ここには出てきません。 読み方
確認できた リポジトリとの紐付け github.com/php-fig/log と結び付いています。 リポジトリ内のマニフェストに、同じパッケージ名が記載されていることを確認しました。
確認できた 直近の更新 最後の push は 2026年2月2日 です。 読み方
確認すべき リリース 直近のリリースは 2024年9月（約 24 か月前）です。 ★更新が少ないことは、保守の終了を意味しません。完成して仕様が固まったライブラリは、直す場所が無いため更新が止まります。必要なときに動くかどうかは、Issue への反応で確かめられます。 読み方
データが取得できない Dangerous-Workflow 判定できませんでした（Scorecard が -1 を返しています）。 公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。 読み方
確認できた Code-Review OpenSSF Scorecard の評価は 10 / 10 です。 読み方
データが取得できない Token-Permissions 判定できませんでした（Scorecard が -1 を返しています）。 公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。 読み方
データが取得できない Signed-Releases 判定できませんでした（Scorecard が -1 を返しています）。 公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。 読み方
確認すべき Security-Policy OpenSSF Scorecard の評価は 0 / 10 です。 ★点が低いことは「危険」ではなく「その項目が確認できていない」を意味することが多くあります。詳しくは解説をご覧ください。 読み方
データが取得できない Branch-Protection 判定できませんでした（Scorecard が -1 を返しています）。 公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。 読み方
確認できた 貢献者 28名の貢献が記録されています。 読み方

OpenSSF Scorecard

4.1 / 10

これは OpenSSF が算出した値で、当サイトの評価ではありません。 点が低いことは「危険」ではなく「その項目が確認できていない」を意味することが多くあります。 各項目の読み方は指標の読み方にまとめています。
生成日: 2026-09-07

Pinned-Dependencies no dependencies found 判定不能
Packaging packaging workflow not detected 判定不能
Dangerous-Workflow no workflows found 判定不能
Maintained 0 commit(s) and 0 issue activity found in the last 90 days -- score normalized to 0 0 / 10
Code-Review all changesets reviewed 10 / 10
Token-Permissions No tokens found 判定不能
Binary-Artifacts no binaries found in the repo 10 / 10
CII-Best-Practices no effort to earn an OpenSSF best practices badge detected 0 / 10
Fuzzing project is not fuzzed 0 / 10
License license file detected 10 / 10
Signed-Releases no releases found 判定不能
Security-Policy security policy file not detected 0 / 10
Branch-Protection internal error: error during branchesHandler.setup: internal error: some github tokens can... 判定不能
SAST SAST tool is not run on all commits -- score normalized to 0 0 / 10

当サイトの観測

直近のリリースからの経過 733 日
リリース間隔の中央値 143 日 （直近12件から算出）
記録されている貢献者 28 名 （上位30名まで）
最多貢献者の割合 45.7 %

人気

これらは健康状態の指標ではありません。 人気があることと、保守されていることは別のことです。

⭐ Stars10,419
月間ダウンロード22,789,767

採用前に確認すること

  • ☐ ライセンスを確認した
  • ☐ 使うバージョンの脆弱性を確認した
  • ☐ パッケージとリポジトリの紐付けを確認した
  • ☐ 保守の状態を確認した
  • ☐ 脆弱性の報告先を確認した
  • ☐ 代替手段を確認した
  • ☐ 更新が止まったときの対応を決めた

詳しくは採用前の7項目チェックリストをご覧ください。

出典

ソース状態
OSV.dev 取得しました
GitHub 取得済み（保存していた内容）
Packagist 取得しました
OpenSSF Scorecard 取得しました
GitHub — リリース 取得済み（保存していた内容）
GitHub — 貢献者 取得済み（保存していた内容）

Open Source Insights (deps.dev) が生成したデータは CC-BY 4.0 のもとで利用しています。 OpenSSF Scorecard のスコアは OpenSSF が算出したものです。 詳しくはデータの出典をご覧ください。

OSSカルテの見方

ログ出力のインタフェースだけを定めたパッケージです。 実装は含まれていません。 LoggerInterface と8段階のログレベル、 {key} 形式の差し込み記法を規約として定めています。 ライブラリが「ログを受け取れる」ことを表明するために使われます。

採用を検討するときに迷う点

このパッケージ自体は何もしません。 入れただけではログは出ません。Monolog などの実装が別に要ります。

用途は「特定のログライブラリに依存せずにログを書ける」ことです。 自作のライブラリが LoggerInterface を受け取る形にしておけば、 使う側は好きな実装を渡せます。

静かに壊れる箇所

  • 差し込み記法の実装は任意です。

    $logger->info('ユーザー {id} が登録しました', ['id' => 42]);

    この {id} を置き換えるかどうかは実装側に委ねられています。 対応していない実装では、{id} が文字のまま出ます。 エラーにはなりません

  • context に何を入れてよいかは決まっていません。 オブジェクトを渡したときの扱いは実装ごとに違います。 パスワードやトークンを含む配列を渡すと、そのままログに残ることがあります

  • null を渡せません。 ログを使わない場合は NullLogger を渡してください。 null を許す型にすると、呼び出しのたびに判定が要ります

  • 例外は context の exception キーに入れるのが規約です。 文字列に混ぜると、実装側が持つ整形の機能が働きません

使うときの考え方

ライブラリを作る側は LoggerInterface を受け取る。 アプリを作る側は実装（Monolog など）を選んで渡す。

この分担を守ると、ログの出力先を変えるときにライブラリ側を触らずに済みます。

なお psr/log は版によって型宣言が変わりました。 LoggerInterface を自分で実装しているコードは、 上げるときに引数と戻り値の型を合わせる必要があります。

同じ目的のOSSとの関係

Monolog は実装そのものです。psr/log のインタフェースを満たしています。 アプリ側ではこちらを選びます。

PSR-3 を使わず、フレームワークのログ機構を直接呼ぶ方法もあります。 アプリ内で完結するコードなら、抽象化の層は不要なことが多くあります。

error_log() や file_put_contents() で足りる場面もあります。 小さなスクリプトで、出力先が固定なら、依存を足す必要はありません。

ここは当サイトによる説明です。上の観測結果とは分けて表示しています。

リリースと活動の履歴

GitHub が公開している記録から遡ったものです。 当サイトの計測開始より前も含みます。

記録のある最初のリリース
遡れた 12 件のうち最も古いもの
0 直近12か月のリリース
143日 リリース間隔の中央値

プレリリースは数えていません。平均ではなく中央値を出しています （1度だけ間が空いた年があると平均は歪むため）。

年ごとのリリース本数

最も多い年で 3 本。 本数の多さは、そのまま良し悪しを表しません。 細かく出す方針のプロジェクトと、まとめて出す方針のプロジェクトがあります。

当サイトでの観測の記録

当サイトでの計測開始
15日ぶん / 18回の観測

観測した変化

    • 初回の観測

記録が短いため、推移のグラフは表示していません。

OpenSSF Scorecard のスコアと脆弱性情報の状態は、 当サイトの計測開始より前には遡れません。 公開元が過去の値を残していないためです。 リリース日や最終コミット日など、上の観測結果に出ている日付は GitHub などの記録によるもので、計測開始より前のものも含みます。

同じ目的のOSS

monolog/monolog 代表的な実装

別のOSSを調べる

例: axios · npm:react · laravel/framework · github.com/vuejs/core