composer audit 不是中文插件专用工具，它仅基于 packagist 包名、版本号和哈希匹配 friendsofphp/security-advisories 数据库，对 fork、私有、dev 分支或未收录的中文插件基本不覆盖，需叠加人工核验、静态扫描与第三方工具协同审计。
composer audit 不是中文插件专用工具，它对所有 Packagist 上注册的包一视同仁——只要包名、版本号和哈希完全匹配 FriendsOfPHP/security-advisories 数据库条目，就能报出风险。但“中文插件”常意味着小众、fork、私有或未提交到安全数据库的包，这类情况 composer audit 基本不覆盖。
怎么确认 composer audit 能不能扫你的中文插件
它只认标准包名 + 精确版本 + 官方维护记录，不认语言、描述或 README 里写的“支持中文”。
- 运行
composer --version：必须 ≥ 2.5.0，否则命令根本不存在 - 运行
composer list | grep audit：没输出说明命令未加载，不是拼错，是不可用 - 检查
composer.lock中该插件的name字段：如果是myorg/easy-sms-chinese这类 fork 名，而数据库只收录overtrue/easy-sms，就直接跳过，不报也不提示 - 看版本是否带
-dev、dev-main或dev-feature/xxx：audit 主动忽略，因安全数据库不收录开发分支
composer audit 查不到漏洞，不代表没风险
FriendsOfPHP/security-advisories 数据库只收录被主流生态（Symfony、Laravel、Drupal 等）确认并提交的漏洞，大量中文社区维护的包、企业内部 fork、或新披露未同步的 CVE 都不在其中。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 常见漏报场景：
composer.json里写的是"w7corp/wechat": "dev-master"→ audit 不查 - 你用的是国内镜像源（如阿里云、腾讯云），但镜像未同步安全 advisories 接口 → 报错
Could not fetch advisories - 插件作者没向 PHP-SECADV 提交漏洞通告 → 即使真实存在 CVE，audit 也看不到
- 漏洞触发依赖特定配置（如开启
allow_url_fopen+ 某个函数调用链），audit 不做运行时环境分析
真正能落地的第三方库审计组合策略
别指望单靠 composer audit 守住防线，尤其对中文或小众插件。得叠加验证层：
- 人工核验来源：
composer show w7corp/wechat查 GitHub 地址，确认 stars ≥ 300、最近半年有 commit、LICENSE 明确、作者邮箱已验证（Packagist 页面显示 “Verified”） - 本地静态扫描：
phpstan analyse vendor/w7corp/wechat/src/检查是否调用eval()、system()、unserialize()等危险函数 - 补位第三方工具：
snyk test --file=composer.lock --severity-threshold=high（注意：会上传 lock 文件，私有项目需评估合规性） - CI 中加一层约束：
roave/security-advisories插件虽不扫描已有包，但能阻止后续composer update装入已知高危版本
CI 流水线里怎么避免误判又不错过真风险
默认行为太宽泛，一条 low 级旧 CVE 就让构建失败；但全关又等于裸奔。关键在参数收口：
- 强制排除 dev 依赖：
composer audit --no-dev，避免 PHPUnit 插件等干扰主流程 - 只卡真正可利用的级别：
composer audit --severity=critical --severity=high（--severity=medium无效，别加） - 结构化输出供判断：
composer audit --format=json --no-dev --severity=critical --severity=high | jq '.advisories | length == 0' - 防网络卡死：
composer audit --no-interaction --timeout=30，内网环境若屏蔽 packagist.org，需确认镜像源是否提供/advisories接口
composer audit 只回答第一个问题的一小部分，剩下得靠人盯。
