composer audit可用需同时满足三条件：Composer≥2.5.0、全局启用experimental.audit、项目存在有效composer.lock；缺一则报错或静默失效，且仅比对lock文件精确版本与FriendsOfPHP安全数据库。
必须用 composer audit，但前提是 Composer ≥ 2.5.0 且已启用实验特性；低于这个版本或未配置，命令直接报错或静默无输出，别折腾插件。
怎么确认 composer audit 能不能用
它不是可选功能，是版本硬门槛。运行 composer --version，输出必须是 2.5.x 或更高。若为 2.4.9 或更低，composer audit 命令根本不存在，报错 Command "audit" is not defined 是必然结果。
升级后还需手动开启：运行 composer config --global experimental.audit true，该配置写入 ~/.composer/auth.json。验证是否就绪：执行 composer list | grep audit，有输出才代表真正可用。
CI 或 Docker 环境中常见问题：
- 基础镜像锁死旧版（如
php:8.2-cli自带的 Composer 2.4.x），得换镜像或手动覆盖安装 - 升级失败且提示 PHP 版本不兼容（如 PHP 7.2），说明无法升到 2.5+，应放弃
audit，改用snyk test --file=composer.lock
composer audit 只认 composer.lock，不看 vendor/ 或 composer.json
它完全依赖 composer.lock 中记录的**精确安装版本号和哈希值**，比对 FriendsOfPHP/security-advisories 数据库。它不分析代码、不扫描 vendor/ 目录内容、也不读 composer.json 里的模糊约束（如 "^3.0"）。
这意味着：
- 你改了
composer.json但没运行composer install→audit不会发现潜在风险 -
vendor/是手动拷贝或git clone进来的，composer.lock缺失或哈希不匹配 → 扫描结果为空或漏报 - CI 流水线跳过
composer install --no-interaction直接跑audit→ 必然失败，报Could not find composer.lock
稳妥做法：CI 中先确保 composer install --no-interaction 成功，再执行 audit。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
CI 中怎么避免误失败，又不漏关键漏洞
默认行为太宽泛：audit 会扫 require-dev、报告所有级别（包括 low）、甚至因网络超时卡住。必须加参数收紧逻辑。
推荐组合：
-
--no-dev：跳过开发依赖，避免 PHPUnit、PHPStan 等工具链低危告警干扰主流程 -
--severity=critical --severity=high：只关注真正需响应的级别；--severity=medium不生效，别加 -
--format=json：结构化输出，配合jq '.advisories[] | select(.severity == "critical")'做精准断言 -
--no-interaction --timeout=30：防网络不稳定导致 CI 卡住；内网环境需确认镜像源是否同步安全数据库
注意：audit 只报不修，返回非零退出码仅表示发现 critical/high 漏洞，后续修复必须人工干预——比如手动 composer update vendor/package 或调整版本约束后再 install。
为什么有时“明明有 CVE 却不报”
不是命令失效，是数据覆盖和匹配逻辑限制。它只查 FriendsOfPHP/security-advisories 这个社区维护的 JSON 列表，不对接 NVD 或 CVE 官方库。
典型漏报场景：
- 小众包、私有包未被收录进该数据库
- 新爆出的漏洞尚未同步（通常几小时到一天延迟）
- 包名不匹配：用了 fork（如
myorg/guzzle），但 advisories 只认guzzlehttp/guzzle - 版本含
-dev、dev-main等标记 →audit主动跳过，因数据库不收录 dev 分支
务实做法：把 composer audit 当作第一道轻量防线，CI 中再叠加一次 snyk test --file=composer.lock --severity-threshold=high 补位。两者互补，但别指望任何一个能 100% 覆盖。
