composer audit 不能替代专业 sca 工具，它仅基于 composer.lock 中精确版本比对 packagist 官方 security-advisories 数据库，不分析代码、不跟踪间接依赖、不识别私有包或未上报 cve 的风险，且存在更新滞后、跳过 dev 分支和自定义仓库等局限。

Composer 自带的 composer audit 并不能替代专业 SCA 工具，它只检查已知的高危漏洞（CVE），且仅限于 Packagist 官方索引中已标记为“安全问题”的包——很多中低危漏洞、逻辑缺陷或未上报 CVE 的风险它根本不会报。

为什么 composer audit 常常“扫不出东西”

这不是你配置错了，而是它的设计定位就是轻量级快速筛查。它不下载代码、不静态分析、不跟踪依赖传递链中的间接引用，只查 Packagist 元数据里明确打上 security-advisory 标签的条目。

• 漏洞数据库更新滞后：Packagist 的安全通告依赖社区提交，很多漏洞从发现到入库要数天甚至数周
• 不识别自定义仓库：如果你用了私有 Packagist 镜像或 repositories 里配置了 Git 包，composer audit 默认跳过它们
• 忽略 lock 文件锁定版本外的潜在路径：比如 vendor/ 里手动删改过的文件、或通过 require --dev 引入但未被 lock 记录的临时依赖
• 不校验 PHP 版本兼容性导致的运行时风险（如使用了 PHP 8.2+ 的新特性但部署在 PHP 7.4 环境）

如何让 composer audit 扫得更实在一点

加两个参数能显著提升有效命中率，尤其对老项目：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• 用 composer audit --locked：强制基于 composer.lock 检查，避免因 composer.json 中版本约束宽泛（如 "^2.0"）而漏掉已安装但过时的具体版本
• 加 --format=json 输出结构化结果，方便脚本后续过滤或对接 CI：例如 composer audit --locked --format=json | jq 'select(.advisories[].severity == "critical")'
• 若项目含私有包，需先确保这些包已在 Packagist 上注册并关联了安全通告；否则只能靠 composer show --outdated + 手动查对应包的 GitHub SECURITY.md 或官方公告

真正要上线前该补什么动作

composer audit 是起点，不是终点。生产环境发布前至少补三件事：

• 跑一次 composer install --no-dev --dry-run，确认当前 composer.lock 在无 dev 依赖下仍能完整解析，避免上线后因缺失 dev-only 包导致 autoloader 失败
• 用 php -d display_errors=Off -l 批量扫描 vendor/ 下所有 PHP 文件（跳过测试和 doc 目录），能捕获语法错误或已被废弃的函数调用（比如 mysql_connect()）
• 检查 composer.json 中是否误启用了不安全的配置：如 "secure-http": false、"prefer-stable": false、或 "minimum-stability": "dev" —— 这些会让 Composer 主动拉取未验证的开发版代码

别指望一条命令扫尽所有风险。真正麻烦的漏洞往往藏在你 fork 过的第三方包里、写死在 config 文件中的硬编码密钥里、或者由两个看似安全的包组合调用触发——这些 composer audit 连边都摸不到。