composer audit 是 composer 2.5.0+ 官方安全审计命令，需满足版本≥2.5.0、启用 experimental.audit、依赖已锁入 composer.lock、网络可达 packagist 安全数据库；它不扫描源码、不修复漏洞、不覆盖私有包或 dev 依赖（除非加 --dev），且国内多数镜像不同步安全数据，应切回官方源或使用兼容镜像。
PHP第三方Composer包漏洞不能靠“感觉”或手动翻代码来排查，得用工具链+流程配合——核心是先识别风险点，再分层处理。
用 composer audit 扫描已知安全公告
这是最直接的入口，但要注意它不是万能钥匙：
- 必须 Composer ≥ 2.5.0，且开启实验特性：composer config --global experimental.audit true
- 只扫描 composer.lock 中锁定的精确版本，不看 composer.json 的模糊约束（如 ^2.0）
- 国内镜像（阿里云、腾讯云等）大多不同步 Packagist 的 security-advisories 数据库，切回官方源或使用支持安全接口的镜像（如华为云部分节点）
- CI 中默认失败太激进，建议加参数控制：composer audit --severity=high --severity=critical --no-dev
定位冲突包与拦路依赖
很多所谓“漏洞包”其实是被其他旧依赖卡住升级不了。别急着删，先看清关系：
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 查谁在用某个包：composer why monolog/monolog
- 查为什么不能升到目标版本：composer why-not php:8.3 或 composer why-not guzzlehttp/guzzle:^8.0
- 运行 composer update --dry-run -v，看完整解析过程和拒绝原因
区分漏洞层级：框架层 vs 运行时层
不是所有高危告警都该由你修——得先判断责任边界：
- 如果审计提示的是 laravel/framework 或 symfony/http-foundation 的 CVE，升级对应框架版本通常有效
- 但如果报的是 php 自身（比如 PHP2Shell 类漏洞，CVSS 9.2），框架更新完全无效，必须升级 PHP 解释器（如从 8.4.10 升到 8.5.12+）
- 私有包或未上 Packagist 的包，默认不进 audit 范围，需手动检查其依赖树或引入 SCA 工具（如 Dependabot、Snyk）
修复后验证与防复发
打完补丁不等于结束，要闭环验证：
- 重新生成锁文件：composer update --lock（确保 lock 文件真实反映当前状态）
- 检查自动加载是否生效：composer dump-autoload -o，尤其新增类或改命名空间后
- CI 流水线中固定 PHP 版本和扩展，避免本地 OK、线上报错；推荐用 .php-version + composer platform config
- 对已忽略的漏洞（如 --ignore=CVE-2023-xxx），必须在代码注释或 SECURITY.md 中写明理由和临时缓解措施
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
