Composer Audit扫描第三方包漏洞需五步：一、升级Composer至≥2.5.0并验证；二、确保composer.lock有效且已更新；三、用--only=require和--severity=high/critical过滤干扰；四、用--format=json生成结构化报告供CI集成；五、网络受限时切回官方源或验证连通性。
如果您正在维护一个基于Composer的PHP项目，但不确定其中引用的第三方依赖是否存在已知安全风险，则可能是由于未及时比对官方漏洞数据库。以下是使用Composer Audit扫描第三方包已知漏洞的多种方法：
一、确认并升级Composer至支持audit的版本
composer audit命令自Composer 2.5.0起正式内置，低版本执行该命令会报错“Command "audit" is not defined”。必须确保当前环境满足最低版本要求，否则所有后续扫描均无法启动。
1、运行composer --version检查当前版本号。
2、若输出为2.4.x或更低版本，执行composer self-update升级至最新稳定版。
立即学习“PHP免费学习笔记（深入）”；
3、若升级失败且提示PHP版本不兼容（如PHP 7.2），则需改用替代方案，例如composer outdated --security（需提前启用composer/composer-security插件）。
二、确保composer.lock文件有效且已更新
composer audit完全依赖composer.lock文件进行比对，它不读取composer.json声明，也不校验vendor/目录实际内容。若lock文件缺失、损坏、被gitignore忽略或未提交，扫描将失效或返回空结果。
1、检查项目根目录是否存在非空的composer.lock文件。
2、若不存在或怀疑过期，先执行rm -rf vendor/ composer.lock清除残留。
3、再运行composer install --no-interaction重新生成锁文件并安装依赖。
三、执行基础审计并过滤干扰项
默认执行composer audit会扫描全部依赖（含require-dev），并报告所有级别漏洞，易在CI中误中断。应通过参数聚焦生产环境真实风险，避免开发工具链低危告警干扰判断。
1、仅扫描生产依赖：运行composer audit --only=require。
2、限制严重等级：添加--severity=high --severity=critical，跳过medium及以下级别。
3、强制联网获取最新数据（首次或怀疑缓存陈旧时）：追加--force参数。
四、生成结构化报告用于自动化集成
CI/CD流水线需机器可解析的输出格式，而非默认表格。JSON格式支持精准提取关键字段，便于与jq等工具链配合实现门禁控制。
1、以JSON格式运行审计：composer audit --format=json。
2、提取所有严重级漏洞：composer audit --format=json | jq '.advisories[] | select(.severity == "critical")'。
3、将结果写入文件供后续分析：composer audit --format=json > security-report.json。
五、处理网络受限环境下的审计失败
audit命令默认从https://packagist.org拉取安全通告数据库，若CI环境无外网、DNS异常或使用了不支持安全接口的镜像源，将出现“Could not fetch advisories”错误。
1、验证基础连通性：curl -I https://packagist.org。
2、检查是否配置了私有镜像：composer config --global repos.packagist.org。
3、临时切换回官方源：composer config --global repo.packagist.org composer https://packagist.org。
