Composer 无 --audit-format 参数，正确格式化选项为 --format=json；自 v2.5.0 起支持，输出结构化 JSON 报告，含 CVE、包名、严重程度等字段，退出码按漏洞等级区分，适用于 CI/CD 自动化解析。
Composer 的 --audit-format 参数本身并不存在 —— 这是常见误解。Composer 自带的 audit 命令（自 2.5.0+ 引入）**不支持 --audit-format 或类似格式化选项**，默认只输出人类可读的文本报告。
真正可用的 JSON 安全审计方式
要获得结构化、适合自动化集成的 JSON 格式安全报告，必须使用 Composer 内置的 audit --format=json（注意是 --format，不是 --audit-format）：
- 该选项从 Composer v2.5.0 起正式支持
- 命令示例：
composer audit --format=json - 输出为标准 JSON：包含漏洞数量、每个漏洞的 CVE ID、包名、版本、严重程度、描述等字段
- 退出码规范：无漏洞时返回
0；发现高危及以上漏洞时返回1（便于 CI 判断）
在 CI/CD 中安全集成 JSON 输出
直接解析 JSON 可避免文本解析的脆弱性，推荐以下做法：
Json Schema Toolkit
下载
使用 JSON Schema 验证 JSON 数据，从示例 JSON 生成 schema，并将其转换为 TypeScript 接口、Python 数据类或 Markdown 文档。
- 用
jq提取关键信息，例如统计中高危漏洞数：composer audit --format=json | jq '[.advisories[] | select(.severity == "medium" or .severity == "high")] | length' - 配合
--no-dev跳过开发依赖（如仅关注生产环境）：composer audit --format=json --no-dev - 若需静默运行（不打印进度条或警告），加
-q：composer audit -q --format=json - 确保 Composer 版本 ≥ 2.5.0（CI 中建议显式检查：
composer --version | grep -E '2\.5\.[0-9]+|2\.6'）
替代方案：兼容旧版 Composer 的方法
若项目仍使用 composer ，原生无 JSON 支持，可临时降级处理：
- 升级 Composer 是首选（
composer self-update） - 次选：调用 Packagist Security API（需解析
composer.lock中的包名和版本，向https://packagist.org/security-advisories/<vendor>/<package>.json</package></vendor>批量请求）—— 复杂且不稳定，不推荐用于生产 CI - 避免自行解析文本输出（如 grep CVE），因格式可能随版本微调而失效
基本上就这些。记住核心：用 --format=json，确认 Composer 版本，搭配 jq 或其他 JSON 工具消费结果。不复杂但容易忽略参数名和版本要求。
