安装在Web根目录下的composer.phar，这是安全问题吗？

Question

我正在审查一个项目，发现composer.phar已直接安装到webroot。这样可以吗？还是可能存在一些安全问题？