镜像源必须真正生效且同步完整安全元数据，composer audit 才能正常工作；否则会漏报或超时，需验证镜像URL、禁用packagist.org、检查p2接口响应及锁文件版本规范。
镜像源是否生效直接影响安全检查结果
换源不生效时，composer audit 仍会尝试连 packagist.org 拉取安全通告，而国内多数镜像默认关闭 notify-on-security-advisories，导致“没报错=没检查”。必须先确认镜像已真正接管元数据请求。
- 运行
composer config -g repo.packagist，输出必须是完整 JSON 对象（如{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}），空值、字符串或含packagist.org都说明配置失败 - 项目级
composer.json中若存在"repositories"字段（哪怕为空数组），全局镜像会被跳过——此时需在项目中显式声明镜像并设"packagist.org": false -
composer install -vvv日志里出现https://packagist.org/advisories或GET /p2/...请求域名不是你配的镜像 URL，就证明安全检查仍在走官方源
composer audit 能否在镜像环境下正常工作
composer audit 不直连镜像站查漏洞，而是从镜像拉取 composer.lock 中记录的包元数据后，再比对 FriendsOfPHP/security-advisories 数据库。只要镜像能正确返回 /p2/ 接口响应且含 packages 字段，audit 就能继续执行；但若镜像同步延迟或未同步安全元数据，就会漏报。
- 验证镜像可用性：用
curl -fsSL --max-time 3 https://mirrors.ustc.edu.cn/composer/p2/monolog/monolog.json | jq -e 'has("packages")'，非零退出即不可靠 - 某些镜像（如腾讯云）证书更新期间 HTTPS 临时中断，而 Composer 默认强制 HTTPS —— 此时
audit会卡在元数据拉取阶段，表现为超时或Could not fetch security advisories -
composer audit --fixed输出的修复版本号，依赖镜像同步的完整性；若镜像未同步最新 tag，可能显示 “no fix available”，实际已有新版
安全检查被绕过的常见场景
即使镜像生效、audit 可运行，仍有大量情况会导致漏洞无法被捕获，这不是工具失效，而是设计使然。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 锁文件中版本含
-dev、dev-main或分支别名（如dev-feature/x）→audit主动跳过，因安全数据库只收录 tagged 版本 - 使用 fork 包（如
myorg/guzzlehttp-guzzle）→ 数据库只认原厂名guzzlehttp/guzzle，名称不匹配即不查 - 私有包未在
repositories中声明 type=package 且提供security-advisories字段 → 默认不参与扫描 -
composer install --prefer-source或本地path仓库 → 跳过 dist 校验，也绕过安全通告查询
CI 流水线中必须做的三件事
在自动化环境中，audit 容易因环境缺失或顺序错误变成摆设。它不自动触发，也不容忍前置条件缺失。
- 必须先确保
composer install --no-interaction成功执行，否则composer.lock不存在或哈希不匹配，audit直接报错退出 - 运行前检查
composer --version≥ 2.5.0 且composer config --global experimental.audit返回true；Docker 基础镜像若自带 2.4.x，得手动覆盖安装 - 加
--level=critical --level=high --no-dev限定告警等级，避免 low 级别旧漏洞阻断构建；但不要省略--fixed，它给出的是可落地的最小修复版本
镜像源只是通道，不是安全代理。它加速下载，但不生成、不校验、不兜底安全数据。真正决定 audit 是否有效的是锁文件质量、镜像同步状态、以及你有没有在 CI 里把 install 和 audit 的执行顺序钉死。
