composer audit 命令需同时满足三条件才可用：composer 版本 ≥ 2.5.0、全局启用 experimental.audit 配置、项目存在有效且哈希匹配的 composer.lock 文件；否则报错或静默失效，且仅比对 lock 中精确版本与 friendsofphp 安全数据库。
直接运行 composer audit 大概率失败或静默退出——它不是开箱即用的功能，必须先确认三件事：Composer 版本 ≥ 2.5.0、实验特性已启用、composer.lock 文件有效且可读。
为什么 composer audit 命令不存在或没输出
这不是拼写错误，也不是镜像源或权限问题，而是底层功能缺失：
-
composer --version输出低于2.5.0（如2.4.9）→ 命令根本未编译进二进制，必须执行composer self-update - 版本达标但
composer list | grep audit无输出 → 实验特性未启用，需运行composer config --global experimental.audit true（该配置写入全局auth.json） - 某些 Docker 镜像或企业定制版
composer.phar裁剪了审计模块 →self-update可能失败，只能手动下载官方完整版
composer audit 扫的是 composer.lock，不是 vendor/
它完全不读 composer.json 的版本约束（如 "monolog/monolog": "^2.0"），也不检查 vendor/ 目录里实际有什么文件。唯一依据是 composer.lock 中记录的精确包名、版本号和 dist.shasum。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer.lock缺失、被.gitignore忽略、或哈希与vendor/不匹配 →audit主动跳过，结果为空 - 手动拷贝
vendor/或git clone进来 → 锁文件未生成或失效，扫描无意义 - 包名是 fork 版（如
myorg/guzzle），而安全数据库只认guzzlehttp/guzzle→ 不匹配，不报错也不提示 - 版本含
dev-main、dev-feature/x等标识 → 数据库不收录，audit主动跳过
CI 流水线里怎么让 composer audit 真正可用
默认行为是只要发现任意一条 advisory（哪怕是个 5 年前的 low 级 CVE），就返回非零退出码——这在 CI 里几乎必然中断构建。
- 聚焦真实风险：
composer audit --severity=critical --severity=high --no-dev（注意：--severity=medium不会中断命令） - 避免网络卡住：
composer audit --no-interaction --timeout=30 - 结构化输出供脚本处理：
composer audit --format=json --no-dev，再用jq '.advisories | length'判断数量，别依赖退出码 - 忽略已知可控漏洞（慎用）：
composer audit --ignore=CVE-2023-12345，但必须在代码注释里写明豁免理由
查不到漏洞时别急着换工具，先看数据库覆盖范围
composer audit 依赖 FriendsOfPHP/security-advisories 数据库，它只收录 Symfony、Drupal、Laravel 等主流生态确认过的条目。小众包、新披露未同步的 CVE、或私有仓库里的包，大概率不在库里。
- 查不到不等于没漏洞，只是数据库没覆盖 → 应叠加
snyk test --file=composer.lock --severity-threshold=high补位 -
composer update从不自动修复漏洞，因为它只遵循版本约束，不感知安全状态；修复仍需手动指定版本，如composer update monolog/monolog:^2.9 - 企业内网若无法访问
https://packagist.org/advisories，需配代理或切换为离线镜像源（需自行维护同步）
最常被忽略的点：锁文件是否真正反映当前 vendor/ 状态。哪怕所有命令都跑通，composer.lock 和 vendor/ 的哈希不一致，audit 就会静默跳过——这不是 bug，是它的设计逻辑。
