composer audit扫不出真实漏洞，因其仅检查composer.lock中已锁定的包，不扫描未安装的dev依赖、私有包、path本地依赖或fork改名包；若lock文件未更新、镜像源无安全接口或依赖未实际加载，结果即失效。
不能靠“跳过”或“忽略”来管理有漏洞的依赖，必须明确知道它是否被实际加载、能否被降级、是否在运行时执行——否则所谓“管理”只是掩耳盗铃。
composer audit 为什么扫不出你项目里的真实漏洞
常见错误现象：composer audit 返回 No advisories found，但线上已中 CVE-2023-12345；或者 CI 里明明加了 --dev，却漏掉 phpunit/phpunit 的反序列化漏洞。
- 根本原因：audit 只查
composer.lock中已解析并锁定的包，不扫描未安装的require-dev（除非显式加--dev），也不检查私有包、path类型本地依赖、或 fork 后改名的包 - 如果你手动改过
composer.json但没跑composer install或composer update，lock文件就不是当前真实依赖快照，audit 结果完全无效 - 某些镜像源（如阿里云、腾讯云 Composer 镜像）不提供安全通告接口，
Could not fetch advisories报错后 audit 直接静默退出，不会报错中断流程
怎么确认一个带漏洞的包到底会不会被执行
很多团队看到 guzzlehttp/guzzle:7.4.0 被爆高危，第一反应是“升版本”，但更关键的问题是：这个包在你的代码里有没有被 use、new 或通过工厂调用？有没有被某个只在测试里用的 helper 类间接引用？
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
composer depends guzzlehttp/guzzle，看哪些包直接依赖它；再对每个上游包重复执行，直到找到你代码里显式使用的入口点 - 搜索项目代码：
grep -r "GuzzleHttp\" --include="*.php" .，注意别漏掉注释里伪装的类名或字符串拼接 - 检查自动加载配置：
composer dump-autoload --no-scripts后运行php -d display_errors=1 -r "var_dump(class_exists('GuzzleHttpClient'));"，确认类是否真能加载 - 如果它只在
require-dev里，且你生产环境不执行phpunit或phpstan，那它的漏洞不影响线上——但 CI 流水线若会运行这些命令，就必须扫
临时缓解但不修复时，必须做三件事
有些漏洞包无法立刻升级（比如上游 SDK 强绑定旧版 monolog），这时“忽略”不是终点，而是起点。
- 在
composer.json的config.audit.ignore中明确写入 CVE 编号，例如"CVE-2023-12345"，而不是靠--ignore-severity=low模糊处理 - 加一行注释说明为什么留着它、谁负责跟进、预计下个迭代是否移除：
// @todo remove after v2.3.0 upgrade, tracked in JIRA-1234 - 用
composer show guzzlehttp/guzzle确认当前锁定版本，并手动检查该版本是否真的包含漏洞（有些 CVE 只影响特定子模块或启用条件） - 禁止该包出现在生产
autoload中：在autoload或autoload-dev里删掉相关 PSR-4 映射，防止被意外加载
最常被忽略的运行时风险点
安全扫描只管静态依赖关系，但真正出事的往往是动态行为。一个被标记为“有漏洞”的包，如果它从不被调用、不执行 post-install-cmd、不触发任何事件监听器，那它就是块石头——但没人会去验证这点。
-
vendor/目录被 Web 服务器直接暴露：Nginx/Apache 必须禁用/vendor/路径访问，否则/vendor/autoload.php可泄漏绝对路径甚至类映射结构 - 插件机制失控：
config.allow-plugins若设为true或未声明白名单，恶意包可自动注册并执行任意 PHP 代码 -
secure-http: false配置允许 HTTP 仓库源，中间人可劫持包下载过程，替换为带后门的版本——validate 不报错，audit 更不会发现 - 某些包的漏洞只在特定 PHP 版本触发（比如仅在 8.2+ 的 JIT 模式下崩溃），而
audit完全不校验platform兼容性，必须搭配composer validate --strict和composer check-platform-reqs一起跑
