composer audit 仅比对 composer.lock 中的精确版本与 friendsofphp 安全数据库，非万能扫描器；需 composer 2.5.0+，依赖有效 lock 文件，且结果不等于实际可利用性。
composer audit 不是万能扫描器，它只比对 composer.lock 中的精确版本与 FriendsOfPHP 安全数据库里的已知条目。没报漏洞 ≠ 没风险，报了漏洞也不代表你当前代码一定可被利用。
composer audit 命令不存在？先看 Composer 版本
运行 composer audit 报错 Command "audit" is not defined，基本就是版本太低。这个命令从 Composer 2.5.0 才正式内置（不是 2.2，旧资料有误），2.4.x 及更早版本根本不认识它。
检查方法：composer --version；升级命令：composer self-update。
注意两点：
- 某些 CI 环境或 Docker 镜像里预装的是锁定版 Composer（如
2.4.4），self-update可能失败，得换基础镜像或手动下载 phar - PHP 版本过低（如 PHP 7.2）可能无法运行
Composer 2.5+，这时只能退而求其次用composer outdated --security（需提前启用composer/composer-security插件）
audit 扫不出已知漏洞？先盯紧 composer.lock
composer audit 完全依赖 composer.lock 文件——它不读 composer.json，也不猜你本地 vendor/ 里实际装了啥。常见失效场景：
-
composer.lock被 gitignore 掉、没提交、或内容为空/损坏 - CI 流水线里跳过了
composer install，直接跑audit→ 没 lock 就扫不了 - 你手动复制了
vendor/或用git clone拉进来，没走 Composer 安装流程 →lock里版本和实际不符
验证是否真锁准了：删掉 vendor/ 和 composer.lock，执行 composer install --no-interaction 再跑 audit。如果之前漏掉的漏洞这次出来了，问题就定位清楚了。
输出一堆 warning 却没 ERROR？别急着升级
默认 composer audit 会报告 low、medium、high、critical 四级，但只有 critical 和 high 默认中断 CI（返回非零退出码）。medium 和 low 多数只是理论风险，比如“反序列化入口存在，但需启用 igbinary 扩展且传入恶意 payload”。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
真正该优先处理的是带 cve 字段且 link 指向 NVD 或 GHSA 页面的条目。用这个命令快速过滤：
composer audit --format=json | jq -r '.advisories[] | select(.severity == "critical" or .severity == "high") | "\(.package)@\(.version) → \(.fixed // "no fix yet")"
注意：.fixed 字段告诉你升到哪个版本能修复，比盲目 update 更稳妥。
CI 里 audit 总失败？控制粒度比硬扛更实用
在 GitHub Actions 或 GitLab CI 里加一行 composer audit 后构建频繁红，往往不是项目真有高危漏洞，而是策略太粗放：
- 默认扫描
require-dev，比如测试工具phpunit/phpunit的一个low级别反序列化提示，不该卡住生产构建 - 网络不稳定导致
Could not fetch advisories，尤其在内网 CI 里没配好镜像源的安全通告同步 - 用了私有包但没在
repositories里声明，或者镜像站（如阿里云）压根不提供安全数据接口
推荐做法：
- 生产流水线用：
composer audit --no-dev --severity=critical --severity=high - 加超时和无交互：
composer audit --no-interaction --timeout=30 - 内网环境先切回官方源临时验证：
composer config --global repo.packagist.org composer https://packagist.org
最常被忽略的一点：audit 结果不等于 exploitability。它只告诉你“这个版本在数据库里被标为有风险”，至于你的代码有没有调用那条危险路径、运行环境是否满足触发条件，还得人工查 advisory 原文里的 Affected versions 和 Exploitation conditions 段落。
