答案：通过 composer audit --format=json --with-dev > dependency-audit.json 生成 SonarQube 可读的 JSON 报告，需配合 sonar-dependency-check-plugin 插件及正确路径配置。Composer 2.5+ 支持该命令，低于版本需升级；默认不检查 require-dev，必须显式加 --with-dev；报告中 .advisories 字段被插件解析为 CVE、严重程度等信息。
composer audit 怎么输出 SonarQube 能读的格式
SonarQube 本身不解析 composer.lock，它依赖外部工具生成结构化报告。Composer 自带的 composer audit（2.5+）支持 JSON 输出，这是最轻量、最可控的接入方式。
- 直接运行
composer audit --format=json > dependency-audit.json，生成标准 JSON 报告 - 注意：默认只检查
require中的包，若需包含require-dev（如phpunit等测试依赖），必须加--with-dev - 如果提示
Command "audit" is not defined，说明 Composer 版本低于 2.5 —— 升级到 2.9 或更高版本再试，别用composer show --outdated替代，它不查 CVE - 生成的 JSON 中
.advisories字段是关键，SonarQube 的插件会从中提取cve、severity、package等字段
SonarQube 怎么加载 composer audit 的 JSON 报告
原生 SonarQube 不支持直接消费 composer audit 输出，必须借助 sonar-dependency-check-plugin 插件（注意不是官方插件，是社区维护的）。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 下载最新版
sonar-dependency-check-plugin-*.jar，放进 SonarQube 的extensions/plugins/目录，重启服务 - 在 SonarQube Web UI 的「Settings → General Settings → Dependency-Check」里，填入
sonar.dependencyCheck.jsonReportPath，路径必须是相对于扫描工作目录的相对路径（例如./dependency-audit.json），不能是绝对路径 - CI 流水线中执行
sonar-scanner时，要显式传参：-Dsonar.dependencyCheck.jsonReportPath=dependency-audit.json - 如果报错
Dependency-Check JSON report does not exists，先确认该文件是否真在扫描工作目录下 —— 很多 CI 环境（如 GitHub Actions）默认工作目录不是项目根，需要cd ${{ github.workspace }}或用working-directory显式指定
为什么 composer install/update 不触发 SonarQube 安全告警
很多人误以为 composer install 或 update 会自动上报漏洞给 SonarQube，其实不会。Composer 的安全检查是单次、本地、命令行驱动的，和 SonarQube 完全无关。
-
composer install只会在终端打印警告（前提是notify-on-security-advisories=true且连的是官方 Packagist），不会生成任何文件供 SonarQube 读取 - 私有镜像源（如阿里云、腾讯云 Composer 镜像）通常不转发或缓存安全元数据，导致
composer audit返回空结果 —— 生产级项目建议在 CI 中直连https://packagist.org - Composer 2.9 的
audit.block-insecure是阻断行为，不是上报行为；它停在终端，不写文件，也不发 HTTP 请求 - 想让 SonarQube 在每次 PR 扫描时都看到最新依赖风险，必须把
composer audit --format=json作为 CI 步骤显式执行，并确保 JSON 文件在 sonar-scanner 启动前就位
dev 依赖里的漏洞为什么经常被漏掉
这是最常被忽略的盲区：很多高危漏洞藏在 require-dev 里，比如 phpunit 的反序列化漏洞、phpstan 的任意代码执行，但默认不参与安全审计。
-
composer audit默认跳过require-dev，必须加--with-dev参数才检查 - SonarQube 插件也不会主动识别 dev 依赖，它只按你给的 JSON 报告内容展示 —— 如果 JSON 里没这些条目，界面上就看不到
- CI 中建议统一用：
composer audit --with-dev --format=json --severity=high,critical > dependency-audit.json，避免低危噪声，聚焦可利用风险 - 别信 “我们不用 dev 包上线” —— 构建阶段执行的工具链一旦被攻破，就能控制整个 CI 环境，危害不亚于 runtime 漏洞
--with-dev、镜像源切错了，都会让整套流程静默失效 —— 它不像语法错误会立刻报红，而是悄悄漏掉所有风险。 
