composer audit查不出私有包漏洞，因为它只对接packagist官方索引的公开包进行cve匹配，不扫描私有仓库（如satis、private packagist）或本地path依赖，且无对应漏洞数据库映射。
composer audit 命令为什么查不出私有包漏洞
composer audit 只对接 Packagist.org 官方索引的公开包做 CVE 匹配，它不扫描私有仓库（如 Satis、Private Packagist）或本地 path 类型依赖。即使你配置了 HTTPS 私仓并启用了签名，audit 也默认跳过——因为它没有对应的漏洞数据库映射。
常见错误现象：运行 composer audit 返回 No vulnerabilities found，但实际项目里用了某个 fork 的 monolog/monolog 分支，该分支已知存在 CVE-2024-1234（未被 Packagist 收录）。
- 确认是否含私有包：
composer show --locked | grep -E "(private|path|satis)" - 私有包需手动比对：
composer show vendor/package-name查版本，再查对应 Git commit 或 tag 是否在已知漏洞范围内 - CI/CD 中可加一步：
grep -r "CVE-" vendor/composer/installed.json（部分厂商会在extra.security字段埋点）
vendor/autoload.php 被 Web 访问会触发什么风险
暴露 vendor/autoload.php 不是“只是多一个 404”，而是典型攻击入口。PHP 解析失败时会输出完整绝对路径（如 /var/www/html/vendor/autoload.php），直接暴露服务器结构；更危险的是，某些旧版 Composer 自动加载器在未初始化状态下会 dump 出 classmap 或 psr-4 映射表，泄漏内部命名空间和文件布局。
Apache/Nginx 配置必须显式拦截：
- Nginx：
location ^~ /vendor/ { return 403; }（注意^~优先级高于正则） - Apache：
RedirectMatch 403 ^/vendor(/|$)（比.htaccess更可靠，避免被覆盖） - 部署脚本里禁止
cp -r vendor public/这类操作——Laravel 的public/目录应只放index.php和静态资源
composer install 时怎么确认依赖签名真实有效
composer install 默认只校验 composer.lock 中的 SHA256 hash，而 hash 可被篡改（比如 lock 文件被污染）。真正建立信任链的是 Packagist 签名机制，但它需要两个条件同时满足：Composer ≥ 2.5 + 显式开启验证。
检查步骤：
- 运行
composer config -g security.signature-verification true（低于 2.5 会报错Unknown configuration setting "security.signature-verification"） - 执行
composer show --security，输出含Signature verification: enabled才算生效 - 注意：仅 Packagist.org 上托管、且作者启用「signed packages」的包受保护；私有仓库需额外配置
signing-key或启用仓库级签名策略
PSR-4 映射写错导致类加载失败，怎么快速定位
不是代码写错，是映射规则没对上。PSR-4 映射表（vendor/composer/autoload_psr4.php）是硬编码数组，它只在 composer dump-autoload 时生成，不监听文件变化。改了 composer.json 却没跑命令，等于白改。
关键校验点：
- 命名空间必须以反斜杠结尾：
"App\"✅，"App"❌（后者完全不匹配） - 路径末尾必须带正斜杠：
"src/"✅，"src"❌（否则拼出srcController/Home.php） - 类文件路径与命名空间严格对应：
AppControllerHome→src/Controller/Home.php，Linux 下大小写敏感，home.php或class home都失败 - 运行
composer dump-autoload -vvv看输出是否包含你新增的命名空间前缀
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
