Composer(Packagist)는 중국에서 작동하나요? 데이터 레지던시·ICP·국경 간 규칙
귀사 프라이빗 Composer 패키지는 독점 PHP 코드 — 영업비밀 — 로, 흔히 API 토큰과 비밀을 품습니다. Packagist.org와 호스티드 프라이빗 레지스트리는 중국 본토 인스턴스 없이 해외에서 돌므로, 그 코드와 귀사 공급망이 해외에 앉습니다. 프라이빗 레포를 국내에서 자체 호스팅하는 것이 PIPL상 레지던시 지렛대입니다.
Composer(Packagist)는 중국에서 작동하나요?
Composer에 대한 진짜 중국 질문은 귀사 빌드가 패키지에 닿을 수 있느냐가 아니라 — 귀사 프라이빗 패키지가 어디 사느냐입니다. 귀사 조직의 프라이빗, 스코프된 Composer 패키지는 독점 소스 코드(영업비밀)이고, 일상적으로 API 토큰·배포 키·설정 비밀을 나릅니다. Packagist.org나 호스티드 프라이빗 레지스트리에 호스팅되면, 그 집중된 코드와 그 비밀이 해외에 앉고 — 데이터 레지던시·영업비밀 노출 — 귀사 중국 빌드의 의존성 공급망이 매 resolve마다 국경 너머로 돕니다.
어떤 패키지나 테스트 픽스처가 중국의 사람의 개인 데이터를 나르면, 그것을 해외로 옮기는 것은 PIPL상 국경 간 이전입니다; 핵심정보인프라 운영자에는 사이버보안법 제39조(구 제37조)가 국내 저장 의무를 더합니다.
지렛대는 귀사 독점 코드와 품긴 비밀을 거주하게 하는, 귀사 중국 빌드의 공급망을 국내에 둔 자체 호스팅, 국내 프라이빗 Composer 레포지토리(Satis, 또는 온프레미스 프라이빗 레지스트리)입니다 — 어떤 형태의 우회도 결코 아닙니다. 구체적인 것은 법률 자문과 확인할 리스크로 다루십시오.
컴플라이언스 스냅샷
- ! 귀사 프라이빗 Composer 패키지는 독점 코드이고, 흔히 비밀을 품습니다.
- ! Packagist.org는 공개 PHP 레지스트리 — 해외에 호스팅, 중국 본토 인스턴스 없음.
- ! 호스티드 해외 레지스트리 위 프라이빗 패키지는 레지던시·영업비밀 노출.
- ! 그러면 귀사 중국 빌드의 의존성 공급망이 매 resolve마다 국경을 넘음.
- ✓ 프라이빗 Composer 레포(Satis)를 국내에 자체 호스팅해 코드와 비밀을 거주하게.
Composer (Packagist) 공식 문서가 중국에 대해 말하는 것
| 사실 | 1차 출처 |
|---|---|
| Packagist.org는 공개, 해외 PHP 패키지 레지스트리입니다 — 중국 본토 인스턴스가 없습니다. Packagist 자사 About 페이지는 밝힙니다: "Packagist is the default Composer package repository. It lets you find packages and lets Composer know where to get the code from,"이고 그것이 "aggregates public packages that anyone can install with Composer." | Packagist.org, "About" (packagist.org), retrieved 2026-10-13 |
| Composer는 자체 호스팅, 국내 프라이빗 레지스트리를 지원합니다. Composer 자사 "Handling private packages" 문서는 Satis가 "is open source but only a static composer repository generator"로 "can be used to host the metadata of your company's private packages, or your own,"이고 Private Packagist가 "available as a hosted SaaS solution or as an on-premise self-hosted package"라 밝힙니다. | Composer documentation, "Handling private packages" (getcomposer.org), retrieved 2026-10-13 |
| 중국 개인 데이터를 해외로 실어 보내는 것은 규율되는 국경 간 이전입니다. 프라이빗 패키지·빌드 아티팩트·테스트 픽스처가 중국 본토의 사람의 개인정보를 나르면, 그것을 해외 레지스트리로 보내는 것은 PIPL 제38~40조를 가동합니다: 고지, 별도 동의, 이전 메커니즘 하나 — CAC 안전성 평가, CAC 표준계약, 또는 인증. | PIPL Chapter III, Articles 38–40 (Personal Information Protection Law of the PRC); 21YunBox cross-border data transfer explainer, retrieved 2026-10-13 |
| 핵심정보인프라 운영자는 국내 저장 의무에 직면합니다. 중국 사이버보안법 제39조(구 제37조)는 중국 본토에서 생성된 개인정보와 중요 데이터가 국내에 저장될 것을 요구합니다 — 해외 전용 레지스트리가 충족할 수 없는 레지던시 의무. | Cybersecurity Law of the PRC, Article 39 (formerly Article 37) (amended CSL, effective 2026-01-01); 21YunBox data-localization explainer, retrieved 2026-10-13 |
21YunBox 컴플라이언스 팀이(가) 2026년 10월 13일에 출처를 확인했습니다.
Composer가 중국 본토에서 “작동”하느냐를 물으면 정직한 답은 귀사 빌드가 상하이에서 패키지를 빨리 끌어올 수 있느냐로 시작하지 않습니다. Composer는 PHP의 의존성 매니저이고, Packagist.org는 그것이 해석하는 공개 레지스트리입니다 — 하지만 컴플라이언스 질문은 레지스트리의 다른 면에 삽니다. 귀사 조직의 프라이빗, 스코프된 Composer 패키지는 귀사 독점 소스 코드 — 영업비밀 — 이고, 일상적으로 API 토큰·배포 키·설정 비밀을, 때로 테스트 픽스처에 앉은 개인 데이터를 나릅니다. Packagist.org나 호스티드 프라이빗 레지스트리에 호스팅되면, 그 집중된 코드와 그 비밀이 본토 밖, 해외에 살고, 귀사 중국 빌드의 의존성 공급망 — 어떤 코드가 어떤 출처와 무결성으로 귀사 중국 배포에 들어가는지 — 이 그것이 해석할 때마다 국경 너머로 돕니다. 레지스트리가 도달 가능한지는 실재하지만, 그것은 귀사가 결정하는 것 중 가장 작은 것입니다.
한눈에 보는 중국에서의 Composer
| 무엇이 결정하나 | Composer(Packagist)에 |
|---|---|
| 어디서 도나 | Packagist.org는 자사 표현으로 "the default Composer package repository" — 해외에 호스팅된 공개 레지스트리입니다. 프라이빗 패키지는 귀사가 자체 호스팅하지 않는 한 호스티드 프라이빗 레지스트리(예: Private Packagist의 SaaS)에 삽니다. 둘 다 중국 본토 인스턴스가 없습니다. |
| 그것이 보유하는 것 | 귀사 프라이빗, 스코프된 패키지는 귀사 독점 PHP 소스 코드 — 영업비밀 — 입니다. 그것들은 일상적으로 API 토큰·배포 키·설정 비밀을, 때로 테스트 픽스처에 남은 개인 데이터를 품습니다. 그것이 커뮤니티 의존성이 아니라 귀사의 가장 집중된 IP입니다. |
| 그 데이터가 앉는 곳 | 귀사가 자체 호스팅하지 않는 한 해외. 독점 코드와 품긴 비밀을 해외 레지스트리에 집중시키는 것은 데이터 레지던시·영업비밀 노출입니다; 패키지나 픽스처 안의 어떤 개인 데이터든 PIPL이 규율하는 국경 간 이전이 됩니다. |
| 귀사 의존성 공급망 | 어떤 코드가 귀사 중국 배포에 들어가는지 — 그리고 그 출처와 무결성 — 는 resolve와 install 시점에 결정됩니다. 프라이빗 레지스트리를 해외에서 돌리면 그 공급망이 매 빌드마다 국경을 넘고, 귀사 국내 통제 밖입니다. |
| 자체 호스팅 옵션? | 예. Composer의 문서는 "the metadata of your company's private packages"를 호스팅하는 오픈소스 "static composer repository generator"인 Satis를 기술하고, Private Packagist가 "as an on-premise self-hosted package" 출하된다 적습니다. 하나를 국내에서 돌려 코드와 비밀을 거주하게 하십시오. |
| 도달 가능한가? | 빌드가 본토에서 패키지를 해석할 수 있느냐는 전달 질문 — 귀사가 이 독점 코드와 이 비밀을 애초에 해외에 보유하도록 승인되었느냐와는 별개이고 그보다 작습니다. |
귀사 프라이빗 패키지가 사는 곳 — 그리고 그것이 첫 질문을 정한다
패키지 레지스트리에는 두 면이 있습니다. 하나는 공개, 오픈소스 면입니다: 커뮤니티 의존성을 끌어오는 것으로, 도달 가능성과 미러링 주제입니다. 다른 하나는 중국 질문을 정하는 것입니다 — 귀사 자신의 프라이빗 패키지. Packagist.org는 자사 About 페이지로 “the default Composer package repository”로 “aggregates public packages that anyone can install with Composer”하는 것입니다; 그것은 해외에서 돌리는 단일 호스티드 서비스로, 중국 본토 인스턴스가 없습니다. 귀사 프라이빗 패키지는 거기 가지 않습니다 — 그것들은 귀사가 자체 호스팅하지 않는 한 호스티드 프라이빗 레지스트리(예: Private Packagist의 SaaS)에 앉습니다. 어느 쪽이든, 귀사 독점 코드와 비밀을 보유하는 프라이빗 패키지는 발행되는 순간 해외에 쉽니다. 그 단일 사실이 도달 가능성이 측정되기 전에 컴플라이언스 질문을 정합니다: 이것은 composer install이 빨리 끝나느냐가 아니라, 귀사 영업비밀 코드와 품긴 자격증명이 어디 저장되느냐에 관한 것입니다.
프롱 하나 — 귀사 프라이빗 패키지는 독점 코드와 품긴 비밀, 해외에 보유됨
이 축에서 Composer의 일은 귀사 프라이빗 패키지를 저장하고 배포하는 것이고, 그 패키지는 귀사의 가장 집중된 지적 재산입니다: 귀사가 의도적으로 오픈소스하지 않은 독점 PHP 소스. 그 안에, 실제로, 귀사 서비스가 쓰는 API 토큰·배포 키·데이터베이스 자격증명·설정 비밀 — 중국 안의 시스템에 닿는 키 포함 — 이 타고, 때때로 테스트 픽스처에 남은 개인 데이터가 탑니다. 해외에서 돌리는 레지스트리에 호스팅되면, 그 코드와 비밀의 코퍼스가 본토 밖, 한 곳에 해외로 집중되어 쉽니다. 그중 어느 것이든 중국의 사람의 개인정보라면, 그것을 해외로 옮기는 것은 개인정보 보호법을 가동합니다: 고지, 별도 동의, 그리고 통과된 이전 메커니즘 하나 — PIPL 제13/23조와 제38~40조상 CAC 안전성 평가, CAC 표준계약, 또는 인증. 핵심정보인프라 운영자나 대량 취급자에, 중국에서 생성된 개인정보는 본토에 저장되어야 합니다(사이버보안법 제39조(구 제37조); PIPL 제40조) — 해외 전용 레지스트리가 충족할 수 없는 레지던시 의무. 빌드가 해석됨만 확인하는 점검은 귀사 독점 코드와 귀사 비밀이 해외에 산다는 것을 결코 보지 못합니다.
프롱 둘 — 귀사 중국 빌드의 의존성 공급망이 국경을 넘는다
Composer는 코드를 저장만 하는 것이 아니라; 조립합니다. 모든 composer install이나 composer update가 귀사 의존성 그래프를 레지스트리에 대해 해석하고 귀사 도는 중국 배포가 되는 패키지를 끌어옵니다. 그 패키지를 서비스하는 프라이빗 레지스트리가 해외일 때, 귀사 중국 빌드의 공급망 — 어떤 코드가 어디서 어떤 출처와 무결성으로 배포에 들어가는지 — 이 매 빌드마다 국경 너머로, 귀사 국내 거버넌스 밖에서 돕니다. 그것이 도달 가능성 탐침이 결코 보지 못하는 구별되는 두 번째 절반입니다: 그것은 레지스트리가 응답했음을 확인할 수 있지만, 귀사 중국 릴리스에 먹이는 신뢰된 프라이빗 패키지가 해외에서 거버넌스되는 것도, 귀사 비밀이 그것과 함께 이동하는 것도 볼 수 없습니다. 합법적 국내 레지스트리 미러나 캐시는 공개 의존성이 어떻게 가져와지는지를 빠르고 단단하게 할 수 있지만, 공개 면을 미러링하는 것은 귀사 프라이빗 패키지나 귀사 공급망을 국내로 옮기지 않습니다 — 귀사 독점 코드와 비밀은 여전히 해외입니다.
도달 가능성 점검이 이 모든 것을 놓치는 이유
“빌드가 상하이에서 패키지를 끌어올 수 있나?”만 묻는 테스트는 엉뚱한 것을 측정합니다. 그것은 귀사 프라이빗 패키지 — 귀사 독점 코드 — 가 본토 밖 레지스트리에 보유된다는 것을 볼 수 없고, 그 안에 품긴 API 토큰과 자격증명을 볼 수 없고, 패키지나 픽스처 안의 어떤 중국 개인 데이터에든 붙는 고지·동의·메커니즘 의무를 볼 수 없습니다. 공개 레지스트리를 그저 도달 가능하게 하거나 미러링하는 것은 규율되는 코드·비밀·공급망을 국내로 옮기지 않고, PIPL이 요구하는 이전 근거를 만들지 않습니다. 중국 청중에 닿는 것과 귀사 프라이빗 코드·비밀을 보유하고 나르도록 승인된 것은 서로 다른 두 테스트이고 — 그중 하나만 지연 차트에 나타납니다.
21YunBox가 들어맞는 곳 — 매핑, 로컬라이즈, 전달
저희는 귀사에게 Composer나 Packagist를 버리라 요청하지 않습니다. 저희는 호스티드, 해외 레지스트리가 할 수 없는 층을 더합니다. 매핑: 저희는 귀사 패키지와 빌드 아티팩트 중 어느 것이 프라이빗 — 귀사 독점 코드 — 인지, 그것이 비밀을 품는지, 그 프라이빗 레지스트리가 어디 호스팅되는지, 그리고 귀사 중국 빌드의 의존성 공급망이 무엇을 끌어오는지 인벤토리합니다. 로컬라이즈·거버넌스: 저희는 귀사가 프라이빗 레지스트리와 아티팩트 저장소를 국내에서 돌려 독점 코드와 품긴 비밀이 거주하게 — Composer는 자체 호스팅 Satis 레포지토리(귀사 프라이빗 패키지 메타데이터용 정적 Composer 레포지토리 생성기)나 온프레미스 프라이빗 레지스트리를 통해 이것을 직접 지원 — 귀사 중국 빌드의 공급망을 국내에 유지하고, 국경을 넘는 것을 최소화하도록 돕습니다. 전달: 저희는 해외 클라우드 앞단에(또는 대신에) 규정에 맞는 국내 프라이빗 레지스트리와 아티팩트 전달을 세우고, 어떤 중국향 표면이든 ICP 비안합니다 — 재구축도, 두 번째 코드베이스도 없이. 21YunBox는 어떤 형태의 우회도 결코 쓰거나 권하지 않습니다.
이는 판정이 아니라 리스크 지도입니다: 귀사가 고지와 동의, 이전 메커니즘, 국내 저장, ICP 비안, 또는 그 조합을 지는지는 귀사 법인, 데이터 볼륨, 귀사 패키지와 픽스처가 무엇을 나르는지에 달려 있습니다 — Composer로 빌드된 릴리스를 중국향 작업에 출하하기 전에 법률 자문과 정할 가치가 있습니다.
함께 읽기:
자주 묻는 질문
Composer나 Packagist는 중국 본토에서 차단되나요?
도달 가능성은 Composer의 중국 질문이 아닙니다. 귀사 빌드가 본토에서 패키지를 해석할 수 있느냐는 전달 사안입니다; 결정은 귀사 프라이빗 패키지와 빌드 아티팩트가 어디 사느냐입니다. 귀사 프라이빗, 스코프된 패키지는 독점 코드이고 흔히 API 토큰과 배포 키를 품으며, 공개 레지스트리(Packagist.org)와 호스티드 프라이빗 레지스트리는 중국 본토 인스턴스 없이 해외에서 돕니다 — 그러니 진짜 테스트는 그 코드와 그 비밀의 레지던시, 그리고 귀사 중국 빌드의 의존성 공급망의 출처입니다. 답은 결코 네트워크 우회책이 아닙니다. 구체적인 것은 법률 자문과 확인하십시오.
우리 프라이빗 Composer 패키지와 비밀은 실제로 어디 사나요?
귀사가 자체 호스팅하지 않는 한, 귀사 프라이빗 패키지는 해외에서 돌리는 호스티드 레지스트리에 앉습니다 — 공개 패키지에는 Packagist.org, 귀사 프라이빗 것에는 호스티드 프라이빗 레지스트리(예: Private Packagist의 SaaS). 그것은 귀사 독점 PHP 소스 코드 — 영업비밀 — 와 패키지가 일상적으로 품는 자격증명·API 토큰·설정 비밀을 중국 본토 밖에 집중시킵니다. 어떤 패키지나 픽스처가 중국의 사람의 개인 데이터를 나르면, 그것을 해외에 보유하는 것은 PIPL상 국경 간 이전입니다. 빌드가 패키지를 해석할 수 있음만 확인하는 점검은 그 코드와 그 비밀이 어디 거주하는지를 결코 보지 못합니다.
우리 프라이빗 Composer 패키지와 비밀을 어떻게 국내에 유지하나요?
Composer는 귀사가 중국 본토 안에서 돌릴 수 있는 자체 호스팅 프라이빗 레포지토리를 지원합니다: 귀사 회사의 프라이빗 패키지 메타데이터를 호스팅하는 오픈소스 정적 Composer 레포지토리 생성기 Satis, 또는 온프레미스 프라이빗 레지스트리 — 귀사 독점 코드와 품긴 비밀을 거주하게, 귀사 중국 빌드의 의존성 공급망을 국내에 둔 채. 공개 의존성용 레지스트리 미러나 캐시는 합법적 공급망 조치이지만, 그 자체로 레지던시 답이 아닙니다. 21YunBox는 귀사 패키지와 아티팩트가 무엇을 보유하는지 매핑하고, 재구축 없이 규정에 맞는 국내 프라이빗 레지스트리와 아티팩트 저장소를 세우며, 어떤 형태의 우회도 결코 쓰거나 권하지 않습니다.
