Composer的composer show --outdated不显示漏洞信息，因其依赖官方security.symfony.com接口而非镜像源；漏洞检测需用composer audit或symfony/security-checker，并支持离线缓存模式。
Composer中文镜像同步后，composer show --outdated 为什么仍查不到漏洞信息？
因为 Composer 官方的 composer show --outdated 和 composer audit 不依赖镜像源，而是直接访问 packagist.org 的元数据接口（如 /packages/list.json）和安全通告 API（https://security.symfony.com/api/advisories）。即使你配置了阿里云、腾讯云等中文镜像，漏洞数据仍走官方通道——镜像只代理包下载和基础元数据，不代理安全告警服务。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 确认是否已启用 Symfony Security Checker：运行
composer global require symfony/security-checker（PHP < 8.2）或改用composer audit（Composer 2.5+ 内置） - 检查网络是否能直连
security.symfony.com；国内环境常被 DNS 污染或防火墙拦截，可临时加 hosts：151.101.10.133 security.symfony.com - 避免混淆：镜像加速的是
composer install下载速度，不是漏洞库更新频率
如何让 composer audit 使用本地缓存的漏洞库，避开网络限制？
Composer 2.5+ 的 composer audit 默认调用远程 security.symfony.com，但支持离线模式：它会尝试读取 ~/.composer/cache/symfony-security-advisories.json（Linux/macOS）或 %APPDATA%\Composer\Cache\symfony-security-advisories.json（Windows）。只要手动更新这个文件，就能绕过网络依赖。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 定期用可信机器下载最新漏洞库：
curl -s https://security.symfony.com/api/advisories | gzip > advisories.json.gz，再解压覆盖缓存路径下的同名文件 - 在 CI 环境中，可通过
COMPOSER_CACHE_DIR环境变量统一指定缓存目录，便于集中维护 - 注意文件权限：确保 PHP 进程有读取该 JSON 文件的权限，否则
audit会静默失败，不报错也不输出结果
自建 PHP 漏洞库同步服务时，advisory 数据格式与 Packagist 元数据怎么对齐？
第三方漏洞库（如 FriendsOfPHP/security-advisories）提供的是按 package name + version range 匹配的 advisory 列表，而 Packagist 的 composer.json 中 name 字段可能含 vendor 名（如 monolog/monolog），但某些历史包在 advisories 里只写 monolog。这种命名不一致会导致漏报。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 解析
advisories.json时，对每个package字段做标准化处理：统一转为小写、去掉末尾斜杠、补全 vendor（如将monolog→monolog/monolog，需结合 Packagist API 反查） - 不要直接比对
version字符串，要用composer semver的Composer\Semver\Constraint\Constraint类做版本范围判断 - 警惕 fork 包：若项目用了
myfork/monolog，需额外检查是否继承原包的 CVE，不能只靠 name 匹配
预警平台上线后，composer outdated --direct 和 audit 结果不一致怎么办？
composer outdated --direct 查的是当前 composer.lock 中直接声明的依赖是否过时，而 audit 查的是所有依赖（含 transitive）是否存在已知漏洞。两者维度不同，但用户常误以为“没过时=没漏洞”，这是最大认知偏差。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 预警平台必须同时展示两组数据：用
composer show --tree提取完整依赖树，再逐层匹配 advisories，才能定位间接依赖的漏洞源头 - CI 流水线里别只跑
composer outdated；应强制执行composer audit --format=json并解析 exit code（0=无漏洞，1=有漏洞，2=错误） - 注意 PHP 版本影响：某些 advisory 标注了
php约束（如"php": ">=7.4.0 <8.0.0"），平台需校验当前运行环境 PHP 版本，否则会误报
真正难的不是同步数据，是把 advisory 的模糊描述（比如“older than 1.25.0”）准确映射到 lock 文件里那个具体 commit hash 或 stability flag 上。这点容易被忽略，但决定预警是否可信。
