composer audit不是开箱即用命令，需Composer 2.5.0+版本、启用experimental.audit配置、且依赖准确的composer.lock文件；低于2.5.0报“command not defined”，锁文件缺失或哈希不匹配会导致漏报，私有包需显式声明并支持security-advisories字段。
composer audit 是当前最直接的依赖安全检查方式，但**它不是开箱即用的命令**——多数人执行后报错或静默退出，根本原因是版本、配置、锁文件三者没对齐。
为什么 composer audit 报 “Command ‘audit’ is not defined”
这不是拼写错误，也不是插件没装，而是 Composer 版本低于 2.5.0。
-
composer --version输出为2.4.x或更低 → 命令根本不存在 - 升级必须用
composer self-update（确保已配国内镜像，否则易卡在 TLS 握手） - 升级后验证：
composer list | grep audit应能输出audit行 - 企业环境若因 PHP 7.2 等旧版本无法升到 2.5+，
roave/security-advisories也救不了——它只拦安装，不扫已存在的包
composer audit 扫的是 vendor/ 还是 composer.lock？
它严格依赖 composer.lock 中记录的**精确安装版本和哈希值**，不是看 vendor/ 目录里“看起来像”的文件，也不读 composer.json 的模糊约束（如 "^3.0"）。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
vendor/是手动拷贝或git clone进来的 →composer.lock缺失或哈希不匹配 →audit结果为空或漏报 - 私有包必须在
composer.json的repositories中显式声明，且元数据需支持security-advisories字段，否则不参与扫描 - 临时验证方法：删掉
vendor/和composer.lock，重新composer install再跑composer audit
CI 流水线里 composer audit 总失败，怎么办？
不是漏洞多，是默认策略太激进：只要发现任意一条 advisory（哪怕 low 级别、5 年前的条目），就返回非零退出码，导致流水线中断。
- 加
--severity=critical --severity=high限定只关注真正要处理的问题 - 加
--no-dev排除phpunit、phpstan等开发依赖干扰 - 网络受限时加
--no-interaction --timeout=30避免卡住；若仍失败，先切回官方源：composer config --global repo.packagist.org composer https://packagist.org - 想让结果可解析：用
composer audit --format=json，再配合jq提取关键字段
composer audit 不报已知漏洞，常见陷阱在哪？
它不分析代码、不查 CVE 原始库、也不做运行时环境判断——只比对 composer.lock 中的包名 + 版本是否出现在 FriendsOfPHP/security-advisories 数据库中。
- 版本号带
dev-、dev-main或dev-feature/x→audit会跳过，因 advisories 不收录 dev 分支 - 用了 fork 包或重命名包（如
myorg/guzzle）→ advisories 只认原厂guzzlehttp/guzzle - 漏洞刚披露，还没同步进数据库（通常延迟数小时到一天）→
audit漏报 -
composer.json改了但没composer install→lock文件没更新 →audit看不到“潜在风险”
"cve": "CVE-XXXX-XXXX" 且 "link" 指向 NVD 页面的条目——这类有公开 PoC，优先处理。其他 medium/low 级别建议人工评估是否真在你的调用路径和运行环境中可利用，而不是盲目升级。 
