composer audit不是修复命令，仅报告已知风险包；能否使用取决于composer≥2.5.0、启用experimental.audit、存在有效composer.lock及可连packagist安全数据库。
composer audit 不是修复命令，它只告诉你“哪些包的当前版本被公开标记为有风险”。能不能用、有没有结果、结果准不准，全看三件事：Composer 版本、composer.lock 状态、网络能否连上 Packagist 的安全数据库。
为什么 composer audit 报 “Command not defined” 或静默无输出
这不是镜像或权限问题，而是功能压根没加载。
-
composer --version输出低于2.5.0→ 命令不存在，必须先运行composer self-update - 版本 ≥ 2.5.0 但
composer list | grep audit没输出 → 实验特性未启用，执行composer config --global experimental.audit true - 用了定制版
composer.phar（如某些旧 Docker 镜像）→ 审计模块被裁剪，self-update可能失败，只能换官方完整版
composer audit 扫的是 composer.lock，不是 vendor/ 目录
它不读 composer.json 里的 "^3.0" 这类模糊约束，也不检查 vendor/ 里实际有什么文件。唯一依据是 composer.lock 中记录的精确包名、版本号和 dist.shasum。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer.lock缺失、为空、被.gitignore忽略，或哈希与vendor/不匹配 →audit主动跳过，结果为空 - 改了
composer.json但没跑composer install→ 锁文件没更新，audit不会反映潜在风险 - 私有包没在
composer.json的repositories中声明，或元数据不含security-advisories字段 → 默认不扫描 - 版本含
dev-main、dev-feature/x等标识 →audit主动跳过（安全数据库不收录 dev 分支）
CI 流水线里 composer audit 总失败？别让它默认行为毁掉构建
默认行为是：只要发现任意一条 advisory（哪怕是个 5 年前的 low 级 CVE），就返回非零退出码。这不是 bug，是设计如此——但你不该照单全收。
- 生产卡点只关注真正可利用的风险：
composer audit --severity=critical --severity=high --no-dev - 网络不稳定时防卡住：
composer audit --no-interaction --timeout=30 - 结果要供脚本解析：
composer audit --format=json --no-dev | jq '.advisories[] | select(.severity == "critical")'（需提前装jq） - 想忽略已知可控漏洞（慎用）：
composer audit --ignore=CVE-2023-12345，但必须在代码注释或文档里写明豁免理由
镜像源配置错误会让 composer audit 直接失效
audit 依赖从 Packagist 安全数据库拉取数据，而很多国内镜像（如阿里云、腾讯云）并不同步 security-advisories 接口。配置错一个键名，或残留项目级 repositories，就会导致请求失败或静默跳过。
- 验证是否真生效：
composer config -g repo.packagist应输出完整 URL；空值或仍为https://packagist.org表示失败 - 键名必须是
repo.packagist（注意是repo，不是repos），拼错就等于没配 - 项目
composer.json含"repositories"字段 → 全局镜像会被覆盖，需确认其中是否显式禁用默认源："packagist.org": false - 临时切回官方源验证：
composer config --global repo.packagist composer https://packagist.org
composer audit 的结果永远受限于 FriendsOfPHP/security-advisories 数据库的覆盖范围和更新延迟，它不分析代码调用路径、不判断漏洞是否可利用、也不查间接依赖。真正的风险响应，得靠人工核对 advisory 中的 affectedVersions 字段，再结合 composer outdated 和手动 update 落地。
