必须组合conflict、audit、签名验证三道防线才能真正卡住高危包；仅靠composer install无法拦截rce等漏洞，如guzzlehttp/guzzle 1.23.0需在conflict中精确写{"monolog/monolog": "1.23.0"}，audit须加--severity=high --severity=critical --no-dev，签名验证需启用security.signature-verification并确认enabled。
不能靠 composer install 自动卡住高危包，必须组合 conflict + audit + 签名验证三道防线，否则哪怕 guzzlehttp/guzzle 是 RCE 版本也会照装不误。
怎么用 conflict 精准拦截已知漏洞版本
它在依赖解析阶段就报错，不等下载或安装，但只对最终进入 composer.lock 的包生效，且必须写对包名和版本约束。
- 想拦死
monolog/monolog1.23.0（已知反序列化漏洞）：在composer.json的conflict字段里写{"monolog/monolog": "1.23.0"}—— 注意不是"monolog"，漏掉/monolog整条失效 - 支持
!=、^、~，但~2.0和^2.0行为不同，别靠猜；"!= 2.8.1"比"^2.0"更安全，因为后者允许升到 2.9.9，而 2.8.1 可能含 CVE-2023-12345 - 它不处理间接依赖：如果
package-a依赖monolog/monolog:^1.23，你只conflict了"1.23.0"，那1.23.1仍会被装上
为什么 composer audit 必须加 --severity=high --severity=critical --no-dev
audit 默认只查 Symfony 安全数据库里的条目，不扫描代码，也不管 medium 或 low 级别漏洞。CI 中不加 --no-dev，phpunit 的中低危漏洞会淹没真实风险。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
--severity不支持medium或low，写了也无效，别白费劲 -
composer audit --format=json | jq '.advisories[].severity'可确认实际触发的等级；真正要警惕的是带"cve": "CVE-XXXX-XXXX"且"link"指向 NVD 页面的条目 -
audit严重依赖composer.lock的精确版本；如果vendor/是手动复制进来的，audit就会漏报
怎么启用 Packagist 签名验证，堵住供应链攻击入口
仅校验 dist.sha256 不够，hash 可被恶意篡改；签名验证才是信任链基石，但只对 Packagist.org 上作者手动签名的包生效。
- 运行
composer config -g security.signature-verification true强制开启全局签名检查（Composer 2.5+ 才支持） - 验证是否生效：
composer show --security输出含Signature verification: enabled才算真启用 - 私有仓库（如 Satis、Artifactory）需额外配置
signing-key或启用仓库级签名策略，否则签名验证形同虚设
镜像源和 HTTPS 强制策略怎么配才不降级
用 HTTP 镜像等于把依赖下载过程裸奔；即使配置了 HTTPS，Composer 在失败时仍可能回退到 HTTP，必须显式禁用。
- 确保所有自定义仓库 URL 以
https://开头，例如"url": "https://packages.example.com" - 设置环境变量
COMPOSER_DISABLE_NETWORK_FALLBACK=1，让 HTTPS 失败时直接报错，而非尝试 HTTP - 检查 CA 证书路径：
composer config --global cafile "/path/to/cert.pem"，避免因证书问题被迫降级
最易被忽略的点：删掉 composer.lock 后跑 composer install 看似“重来”，实则放弃所有版本锁定，可能引入新漏洞；conflict 写错包名、audit 漏 --no-dev、签名验证没确认 enabled——这三处任一出错，整套安全机制就形同虚设。
