composer本身不提供自动审计或每日巡检能力，其核心功能限于依赖管理；composer audit命令在官方核心中并不存在，v2.5+引入的实验性audit需手动启用且依赖外部数据库，非内置默认功能。
Composer 本身不提供自动审计或每日巡检能力，所谓“自动审计机制”是常见误解——它只负责依赖安装与版本解析，安全扫描必须靠额外工具集成。
composer audit 命令根本不存在
很多人在终端输入 composer audit 后报错 Command "audit" is not defined，是因为 Composer 官方核心命令里压根没这个功能。v2.5+ 虽引入了 composer validate --strict 和部分完整性校验，但它们不检查漏洞，也不联网比对 CVE 数据库。
- 真正做安全扫描的是
composer security-checker（已归档）、roave/security-advisories（被动阻断）、或第三方服务如sensiolabs/security-checker（停更） - 目前推荐的组合是：
composer install --no-dev+php -d memory_limit=-1 vendor/bin/security-checker security:check（需手动安装security-checkerCLI） - 若用 GitHub Actions，可直接调用
php-actions/composer+whitesource/whitesource-scan-action实现自动触发
roave/security-advisories 只能防安装，不能查已有漏洞
这个包本质是个“冲突列表”，通过在 composer.json 中声明 "roave/security-advisories": "dev-master"，让 composer update 在遇到已知高危版本时直接失败。但它对已安装的旧版本毫无反应。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 它不扫描
vendor/目录，也不读取composer.lock做回溯分析 - 无法发现间接依赖（transitive dependency）中的漏洞，比如
monolog→symfony/http-foundation→guzzlehttp/psr7这类链条里的低版本 - 一旦项目禁用了
minimum-stability或用了prefer-stable: false，它可能被绕过
每日巡检必须自己搭调度+报告闭环
没有现成的“Composer 每日巡检”开关，得靠外部调度驱动扫描、捕获结果、发告警。关键不是工具选什么，而是怎么把输出变成可操作信号。
- 用
curl -sS https://security.symfony.com/check_lock | php composer.lock（Symfony 官方在线检查器）适合轻量项目，但依赖外网且无认证，不适合内网环境 - 本地化方案推荐
oss-review-toolkit (ORT)或phpstan-security（静态分析补漏），配合crontab -e每日跑：0 3 * * * cd /var/www/myapp && /usr/bin/php /usr/local/bin/composer update --dry-run 2>&1 | grep -q "CVE\|advisory" && echo "$(date): vulnerability found" | mail -s "Composer Audit Alert" admin@example.com - 注意：所有扫描都应在干净环境中执行（
--no-cache、--ignore-platform-reqs关掉时要小心，PHP 版本差异可能导致漏报）
真正的难点不在“能不能扫”，而在于如何区分误报（比如 dev-only 包出现在生产 lock 文件里）、如何关联到具体业务接口（哪个 API 调用了带漏洞的 firebase/php-jwt）、以及当 composer.lock 被人为修改绕过检查时，怎么从 Git 历史里揪出变更点。这些没法靠一行命令解决。
