镜像源必须真正生效且同步完整安全元数据，composer audit 才能正常工作；否则会漏报或超时，需验证镜像url、禁用packagist.org、检查p2接口响应及锁文件版本规范。

镜像源是否生效直接影响安全检查结果

换源不生效时，composer audit 仍会尝试连 packagist.org 拉取安全通告，而国内多数镜像默认关闭 notify-on-security-advisories，导致“没报错=没检查”。必须先确认镜像已真正接管元数据请求。

• 运行 composer config -g repo.packagist，输出必须是完整 JSON 对象（如 {"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}），空值、字符串或含 packagist.org 都说明配置失败
• 项目级 composer.json 中若存在 "repositories" 字段（哪怕为空数组），全局镜像会被跳过——此时需在项目中显式声明镜像并设 "packagist.org": false
• composer install -vvv 日志里出现 https://packagist.org/advisories 或 GET /p2/... 请求域名不是你配的镜像 URL，就证明安全检查仍在走官方源

composer audit 能否在镜像环境下正常工作

composer audit 不直连镜像站查漏洞，而是从镜像拉取 composer.lock 中记录的包元数据后，再比对 FriendsOfPHP/security-advisories 数据库。只要镜像能正确返回 /p2/ 接口响应且含 packages 字段，audit 就能继续执行；但若镜像同步延迟或未同步安全元数据，就会漏报。

• 验证镜像可用性：用 curl -fsSL --max-time 3 https://mirrors.ustc.edu.cn/composer/p2/monolog/monolog.json | jq -e 'has("packages")'，非零退出即不可靠
• 某些镜像（如腾讯云）证书更新期间 HTTPS 临时中断，而 Composer 默认强制 HTTPS —— 此时 audit 会卡在元数据拉取阶段，表现为超时或 Could not fetch security advisories
• composer audit --fixed 输出的修复版本号，依赖镜像同步的完整性；若镜像未同步最新 tag，可能显示 “no fix available”，实际已有新版

安全检查被绕过的常见场景

即使镜像生效、audit 可运行，仍有大量情况会导致漏洞无法被捕获，这不是工具失效，而是设计使然。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• 锁文件中版本含 -dev、dev-main 或分支别名（如 dev-feature/x）→ audit 主动跳过，因安全数据库只收录 tagged 版本
• 使用 fork 包（如 myorg/guzzlehttp-guzzle）→ 数据库只认原厂名 guzzlehttp/guzzle，名称不匹配即不查
• 私有包未在 repositories 中声明 type=package 且提供 security-advisories 字段 → 默认不参与扫描
• composer install --prefer-source 或本地 path 仓库 → 跳过 dist 校验，也绕过安全通告查询

CI 流水线中必须做的三件事

在自动化环境中，audit 容易因环境缺失或顺序错误变成摆设。它不自动触发，也不容忍前置条件缺失。

• 必须先确保 composer install --no-interaction 成功执行，否则 composer.lock 不存在或哈希不匹配，audit 直接报错退出
• 运行前检查 composer --version ≥ 2.5.0 且 composer config --global experimental.audit 返回 true；Docker 基础镜像若自带 2.4.x，得手动覆盖安装
• 加 --level=critical --level=high --no-dev 限定告警等级，避免 low 级别旧漏洞阻断构建；但不要省略 --fixed，它给出的是可落地的最小修复版本

镜像源只是通道，不是安全代理。它加速下载，但不生成、不校验、不兜底安全数据。真正决定 audit 是否有效的是锁文件质量、镜像同步状态、以及你有没有在 CI 里把 install 和 audit 的执行顺序钉死。