composer audit是Composer 2.5.0+内置命令，非插件且不依赖所谓“中文插件机制”；需满足版本≥2.5.0、启用experimental.audit、存在有效composer.lock及可访问Packagist安全数据库等硬性条件才能正常工作。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
composer audit 不是中文插件机制的产物，它根本不是插件，也不依赖任何“中文插件机制”——Composer 官方没有、也从未定义过所谓“中文插件机制”。所有声称基于该机制实现自动化审计的说法，都混淆了概念，容易导致配置失效或安全盲区。
为什么 composer audit 不能靠插件机制驱动
Composer 的 PluginInterface 无法在依赖解析完成前介入，也不能访问未提交的依赖图；audit 命令本身是内置 CLI 功能，不是插件注册的命令。强行写个“中文审计插件”，只会：
• 在 pre-install-cmd 阶段运行，但此时 composer.lock 可能未更新，扫描结果滞后
• 无法触发 audit 的真实逻辑（它依赖 Packagist 的 /advisories API 和内部 AdvisoryChecker 类）
• 报错时无法中断安装流程（插件无权 throw 异常终止核心流程）
• 若插件用了非标准包名或自定义源，audit 数据库根本不识别，漏报成必然
composer audit 能用的前提条件
它不是“装了就能用”的功能，必须同时满足：
• composer --version 输出 ≥ 2.5.0（当前最新稳定版是 2.9.6）
• 运行 composer list | grep audit 有输出（否则命令未加载）
• 已执行 composer config --global experimental.audit true（写入 ~/.composer/auth.json）
• 项目根目录存在有效且未被 .gitignore 屏蔽的 composer.lock 文件
• 网络可访问 https://packagist.org/advisories（企业环境常因代理/防火墙失败）
CI/CD 中真正可靠的集成方式
别封装插件，直接用原生命令加控制参数：
• 在 GitHub Actions 中，放在 composer install 后，加 --no-dev --no-interaction --format=json --timeout=30
• 用 jq '.advisories[] | select(.severity == "critical" or .severity == "high")' 提取高危项，空结果才允许通过
• 设置 COMPOSER_NO_AUDIT= 环境变量跳过本地开发误阻断
• 避免只写 composer audit —— 默认行为会因一条 low 级漏洞就失败，生产环境不该这么激进
• 不要信任 --locked 参数：它只是默认行为，不加也不会错，加了反而可能误导以为能绕过 lock 文件校验
容易被忽略的三个硬性限制
即使所有配置都对，audit 仍会静默跳过：
• 版本含 -dev、dev-main、dev-feature/xxx 的包（advisories 数据库不收录 dev 分支）
• 包名被 fork 或重命名（如 myorg/guzzle），而数据库只认 guzzlehttp/guzzle
• composer.lock 中的 dist.shasum 与实际 vendor 文件不一致（比如手动复制 vendor 或禁用校验）
