CI中需依赖白名单以排除已知无风险的误报项，如老旧但安全的phpunit或未上公共仓的私有包；白名单须硬编码于代码中确保可审计、可复现，禁止环境变量动态覆盖。
CI里为什么需要Composer依赖白名单
白名单不是为了“允许某些包”，而是为了在安全扫描或静态检查阶段，明确排除已知无风险、但工具误报的依赖。比如phpunit/phpunit在开发环境里必然存在，但composer-audit或phpstan可能因版本老旧报CVE或类型不匹配；又比如私有包未上公共仓库，扫描工具默认标为“未知来源”。没有白名单，CI就只能全盘失败或人工放行——后者等于把门禁交给人眼。
白名单配置必须固化在代码中，不能靠CI环境变量临时覆盖，否则无法审计、不可复现。
composer-audit如何配置CVE扫描白名单
composer-audit本身不支持全局白名单，但可通过--ignore参数逐个跳过已确认无害的问题。关键是：这个参数必须写死在CI脚本里，不能由环境注入。
- 用法示例：
composer audit --ignore "monolog/monolog:1.25.0,CVE-2021-41277" --ignore "symfony/console:5.4.0,CVE-2022-24894" - 多个
--ignore可叠加，但每个必须是"vendor/package:version,CVE-ID"完整格式，缺一不可 - 注意空格和引号：Linux下用双引号包裹整个值，Windows CMD需改用
^"转义，PowerShell建议改用pwsh -Command封装 - 白名单条目应集中存放在
.audit-ignore文件中，CI脚本读取后拼接参数（避免命令行过长被截断）
PHPStan/ Psalm静态分析的白名单绕过逻辑
这两者不叫“白名单”，而是通过ignoreErrors或reportUnmatchedIgnoredErrors="false"实现类似效果。但它们生效的前提是：配置文件必须被显式加载，且路径不能依赖环境变量。
-
phpstan.neon中写死忽略项：ignoreErrors: - '#Call to an undefined method.*Foo::bar#' - Psalm的
psalm.xml里用 - CI中必须显式传参：
phpstan analyse --configuration=phpstan.neon，裸跑phpstan analyse会忽略项目级配置 - 若使用
composer run-script，务必加@前缀透传退出码，否则误报被吞掉也不报错
白名单固化最易被忽略的三个点
第一，白名单内容本身要进Git：无论是.audit-ignore、phpstan.neon还是psalm.xml，只要参与CI判断，就必须提交，不能只放在CI模板里。
第二，路径必须绝对可靠：CI镜像里pwd可能不是项目根目录，所有配置文件引用要用${PWD}/phpstan.neon或$(realpath phpstan.neon)，别信相对路径。
第三，白名单不是免死金牌：它只跳过指定错误，不解决根本问题。比如忽略CVE-2021-41277，但该漏洞在PHP 8.1+下可能触发Fatal Error——白名单掩盖的是扫描器报错，不是运行时崩溃。
