Composer audit命令仅在2.5+版本中引入且需手动启用experimental.audit配置，它依赖packagist.org安全数据库比对composer.lock中的包版本，不扫描源码、私有包或dev分支，存在网络依赖和同步延迟。
Composer 的 audit 命令本身并不存在 —— 它是 Composer 2.5+ 才引入的实验性功能，且默认未启用；多数人执行 composer audit 报错或无响应，是因为没开 feature flag 或版本太低。
如何确认你的 Composer 支持 audit 功能
先检查版本和可用命令：
composer --version composer list | grep audit
只有 Composer ≥ 2.5.0 且启用了 feature-flag 才可能看到 audit。若无输出，说明：
• 你用的是旧版（如 2.4.x）
• 或新版但未开启实验特性
• 或你装的是 composer/phar 精简版（不含审计模块）
启用方式（仅限 2.5+）：
- 运行
composer config --global experimental.audit true - 再执行
composer audit才会真正调用安全扫描逻辑 - 该配置写入全局
auth.json，不影响项目级配置
audit 命令实际调用的是 packagist.org 的安全告警数据库
它不是本地静态分析工具，也不扫描源码漏洞，而是比对 composer.lock 中每个包的 name + version 是否出现在 Packagist 维护的 security-advisories 列表中。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
关键限制：
- 只识别已知 CVE 或社区上报的高危问题（如
guzzlehttp/guzzle≤ 7.4.5 的 SSRF 漏洞） - 不检测你自定义的私有包，除非它们被手动提交到 advisories 仓库
- 不检查
require-dev中的包是否影响生产环境（但默认仍会扫描） - 扫描结果依赖 Packagist 数据同步时效，通常延迟数小时到一天
audit 扫描失败或漏报的常见原因
即使开了 feature flag，也可能遇到：
-
Could not fetch security advisories：网络无法访问https://packagist.org/advisories（公司代理/防火墙拦截） - 返回空结果：项目用了 fork 包或重命名包（如
myorg/guzzle），而 advisories 只认原厂guzzlehttp/guzzle - 误报“无问题”：lock 文件里有包版本号带
-dev、dev-main或dev-feature/x—— audit 会跳过这些不稳定版本，因 advisories 不收录 dev 分支 - 忽略
platform配置：如果你在composer.json中写了"platform": {"php": "8.1.0"}，audit 不校验 PHP 本身漏洞，只管 PHP 包
替代方案：更可靠的安全审计流程
别只依赖 composer audit。生产环境应组合使用：
- 用
composer show --outdated --direct快速看直系依赖是否陈旧 - 跑
composer validate --strict防止 lock 文件被手改导致版本漂移 - 接入 SAST 工具如
phpstan-security或psalm-plugin-security做代码层污点分析 - CI 中加一步：
curl -sS https://raw.githubusercontent.com/composer/security-advisories/master/security-advisories.json | jq -r '.advisories[] | select(.package == "monolog/monolog") | .version'，做针对性检查
audit 是个快捷入口，但它的数据源、覆盖范围和稳定性都有限。真正卡住供应链风险的，还是锁文件不可变 + 定期更新 + 多层验证。
