composer audit需同时满足三条件才可用：composer≥2.5.0、全局启用experimental.audit、项目存在有效composer.lock；缺一则报错或静默失效，且仅比对lock文件精确版本与friendsofphp安全数据库。
composer audit 不是“一运行就出结果”的命令，它在多数环境里默认根本不可用，直接执行大概率报 Command "audit" is not defined 或静默无输出——先验证三件事，再谈扫描。
怎么确认 composer audit 真的能用？
它需要同时满足三个硬性条件，缺一不可：
- 运行
composer --version，输出必须是Composer version 2.5.0或更高；2.4.9就不行 - 运行
composer list | grep audit，必须有输出；没输出说明命令未注册（某些企业定制版或旧镜像会禁用） - 运行
composer config --global experimental.audit，返回值必须是true；否则手动启用：composer config --global experimental.audit true
这三步不能跳。CI 流水线里常见失败，不是项目有漏洞，而是基础镜像锁死了 Composer 2.4，或 self-update 被代理拦截导致升级失败。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
为什么 composer audit 明明有漏洞却不报？
它只比对 composer.lock 里的精确版本号 + 完整哈希，和 FriendsOfPHP/security-advisories 数据库里的条目。不扫描代码、不查 NVD、也不管你 PHP 版本或配置是否触发漏洞。
-
composer.lock缺失、被.gitignore忽略、或内容损坏 → audit 无输入，结果为空 - 你手动复制了
vendor/，没走composer install→ lock 文件里的dist.shasum与实际文件不匹配，audit 主动跳过校验 - 包名是 fork 版（如
myorg/guzzle），而数据库只认guzzlehttp/guzzle→ 直接忽略，不报错也不提示 - 版本带
-dev、dev-main等不稳定标识 → advisories 不收录，audit 主动跳过 - 用了私有仓库但没在
composer.json的repositories里声明security-advisories元数据 → 不参与扫描
CI 流水线里怎么跑才不误伤、不漏报？
默认行为是：只要发现任意一条 advisory（哪怕 5 年前的 low 级条目），就返回非零退出码。这不是 bug，是设计如此——但你不该让它这么跑。
- 生产环境卡点只关注真正可利用的风险：
composer audit --severity=critical --severity=high --no-dev - 网络不稳定时防卡住：
composer audit --no-interaction --timeout=30 - 结果要供脚本解析：
composer audit --format=json --no-dev | jq '.advisories[] | select(.severity == "critical")'（需提前装jq） - 想忽略已知可控漏洞（慎用）：
composer audit --ignore=CVE-2023-12345
最关键的遗漏点：CI 中必须先确保 composer install --no-interaction 成功执行并生成/更新 composer.lock，再跑 composer audit。跳过安装步骤，audit 就是空转。
