Composer 本身不提供原生补丁机制，所有打补丁功能均由第三方插件（如 cweagans/composer-patches）通过钩子实现；补丁需为 git diff 格式、配置在根 composer.json 中，且仅为临时方案，应尽快升级至官方修复版本。
Composer 的 patch 机制根本不存在
Composer 本身不提供打补丁（patch）功能，composer install 或 composer update 不会自动应用任何安全补丁。所谓“vendor 中的安全补丁”，其实是靠第三方工具或手动干预实现的，不是 Composer 原生能力。
常见误解是看到某些项目在 composer.json 里写了 "patches" 字段就以为 Composer 支持它——其实那是 cweagans/composer-patches 插件提供的扩展行为，和 Composer 无关。
- Composer 官方只负责下载、安装、锁定依赖包的指定版本
- 所有“打补丁”动作都发生在
post-install-cmd或post-update-cmd钩子中，由插件或自定义脚本触发 - 没有插件时，
vendor/下的代码就是你声明的版本原始快照，改了也会在下次composer update被覆盖
用 cweagans/composer-patches 打补丁的实操要点
这是目前最主流、也相对稳定的补丁方案，但它不是“开箱即用”，很多坑藏在配置细节里。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 必须先运行
composer require cweagans/composer-patches，否则"patches"字段会被完全忽略 -
"patches"必须写在根项目的composer.json中，不能放在被 patch 的包自己的composer.json里 - 补丁路径是相对于当前项目根目录的，不是相对于
vendor/；例如"myvendor/mypackage": {"patches/fix-sqli.patch"}表示补丁文件在项目根目录下的patches/fix-sqli.patch - 补丁必须是
git diff格式（带--- a/...和+++ b/...），用diff -u生成的才可靠；手工写的sed或替换文本会失败 - 如果补丁应用失败，Composer 默认静默跳过（除非加
--verbose），建议在 CI 中加composer install --no-interaction --verbose确保能捕获失败
为什么不用 path 类型仓库临时替换成修改版？
有人会把有漏洞的包 fork 后修复，再通过 "repositories" + "type": "path" 指向本地目录。这看似简单，但实际风险很高。
-
path类型仓库不参与版本解析，Composer 可能错误地复用旧的composer.lock记录，导致本地修改未生效 - CI 环境通常不挂载本地路径，
path仓库在构建机上直接报source does not exist - 无法限制只对某一个子包生效：一旦配置了
path，所有匹配name的包都会被强制走该路径，容易误伤其他依赖 - 升级时极易遗忘——官方包发新版后，你得手动同步修复到 fork 分支，否则永远卡在旧版
临时修补时最容易被忽略的兼容性问题
补丁不是万能胶，尤其当漏洞涉及接口变更或类加载顺序时，打完可能表面正常，运行期才崩。
- 检查补丁是否改动了
public方法签名或返回类型，下游代码可能因类型不匹配而 fatal error - 确认补丁没删掉被其他包反射调用的
protected属性或方法（比如 Laravel 的Macroable场景） - PHP 版本敏感补丁要额外验证：比如针对 PHP 8.1+
ReturnTypeWillChange的补丁，在 PHP 7.4 下可能引发 parse error - 缓存类（如 OPcache、APCu）可能缓存了旧字节码，补丁生效后需清空 OPCache 或重启 FPM
补丁只是过渡手段，真正该盯住的是上游包何时发布含修复的正式版本，并尽快 composer update vendor/package 撤掉补丁——因为没人会为你维护那个 patch 文件的长期兼容性。
