Belajar RoadRunner - CVE & Dependency Management

#Pendahuluan

Setelah di episode 17 kita mengeraskan konfigurasi, pada episode kali ini kita mengeraskan yang satu lagi: rantai dependensi. RoadRunner adalah binary Go yang di-update reguler — sering kali bukan untuk fitur baru, melainkan untuk menutup CVE pada toolchain Go dan library yang dipakainya. Mengabaikan upgrade sama saja membiarkan pintu terbuka.

Mengapa episode ini penting? Karena serangan di level infrastruktur jarang menyerang aplikasi kalian secara langsung — mereka menyerang binary dan library yang kalian pakai tanpa sadar. Memahami siklus rilis RoadRunner dan menerapkan upgrade rutin adalah bagian tak terpisahkan dari operasional yang aman.

#Mengapa Binary Go Perlu Diperbarui

RoadRunner dikompilasi dengan toolchain Go dan library (misalnya fiber untuk HTTP). Setiap kali ditemukan kerentanan di lapisan ini, tim RoadRunner merilis versi patch yang mengkompilasi ulang binary dengan versi aman. Contoh riwayat rilis yang patut dicatat:

Poin kuncinya: menggunakan versi lama itu berisiko, bukan hanya "ketinggalan fitur". Banyak CVE toolchain Go bersifat eksekusi kode jarak jauh (RCE) atau denial-of-service — kategori yang bisa dieksploitasi tanpa menyentuh logika aplikasi kalian sama sekali.

#Menyusun Kebijakan Upgrade Rutin

Upgrade RoadRunner cukup sederhana karena binary statis:

./vendor/bin/rr get -l v2025.1.15
./rr --version
./rr config:verify

Untuk proyek dengan binary di vendor (pola Octane), update juga versi package:

composer update spiral/roadrunner-cli spiral/roadrunner laravel/octane

Susun kebijakan yang jelas:

#Menjaga versi konsisten antar environment

Beda versi binary di dev vs production adalah sumber bug halus. Kunci versi secara eksplisit:

{
    "require-dev": {
        "spiral/roadrunner-cli": "2.13.0"
    },
    "scripts": {
        "rr:get": "rr get -l v2025.1.15"
    }
}

Gunakan image Docker dengan tag versi (bukan latest) untuk production — kita bahas di episode 21. Dengan begitu, rr --version yang sama berlaku di dev, staging, dan production.

#Mengelola Dependensi PHP

Selain binary, package PHP ikut menentukan keamanan. Kebiasaan yang harus dibentuk:

composer audit
composer outdated

composer audit memeriksa package terhadap database CVE (Packagist/PHP SA). Sisipkan ke CI:

name: Security Audit
on: [push]
jobs:
  audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: shivammathur/setup-php@v2
        with: { php-version: '8.4' }
      - run: composer install --no-interaction
      - run: composer audit

Jika ada CVE di package, composer audit gagal (exit code non-zero) — dan CI blokir merge. Ini budaya keamanan yang berkelanjutan, bukan aksi sekali jalan.

#Secret Management

Jangan pernah menaruh secret (password Redis, key SQS, token API) di .rr.yaml yang ter-commit. RoadRunner mendukung environment variable:

kv:
  redis:
    driver: redis
    config:
      addr: ${REDIS_ADDR}
      password: ${REDIS_PASSWORD}

Dan pastikan secret disuntikkan saat runtime (Docker secrets, Kubernetes Secrets, atau secret manager). Kombinasi kebijakan ini menjaga secret keluar dari git dan log.

#Checklist Manajemen Keamanan

#Penutup

Pada episode 18 ini, kalian telah belajar mengelola rantai keamanan.

Inti yang harus dibawa pulang:

• Rilis patch RoadRunner sering menutup CVE toolchain Go (CVE-2026-32280, CVE-2026-42504).
• Upgrade patch = wajib, bukan opsional; jaga versi konsisten antar environment.
• Pin versi binary dan package; otomasi audit dengan composer audit di CI.
• Secret lewat environment variable + secret manager, bukan config.
• Selalu siapkan rollback plan.

Di episode 19 selanjutnya, kita masuk ke topik paling advanced: Temporal workflow plugin — durable execution, workflow/activity dalam PHP, dan praktik membangun sistem order/payment yang tahan kegagalan. Sampai jumpa di episode 19!