上线前审核卡在 composer install 的根本原因是 CI 环境中镜像未生效，主因是配置作用域错位（全局配置仅对 root 生效而 CI 以非 root 用户运行）及安全审计数据源缺乏时间快照导致结果不一致。
上线前审核卡在 composer install，其实是镜像没生效
CI 流水线里 composer install 耗时暴涨或超时中断，90% 不是代码问题，而是审核环境没正确加载镜像配置。审核阶段通常复用测试机或临时容器，但 composer config -g repo.packagist 只对 root 生效，而 CI runner 多以 gitlab-runner 或 runner 用户运行——whoami 一查就露馅。
常见错误现象：
-
composer config -g repo.packagist在本地输出正确 URL，但在 CI 日志里为空或仍是https://packagist.org - 审核报告里出现大量
Connection timed out或SSL routines:tls_process_server_certificate:certificate verify failed -
composer install -vvv日志中请求域名始终是packagist.org，而非你配的镜像地址
实操建议：
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- CI 脚本开头加
whoami和composer config -g repo.packagist，确认执行用户和实际配置是否匹配 - 别依赖“预装镜像”，每次
composer install都要显式指定源：composer install --repository=https://mirrors.cloud.tencent.com/composer/ - 企业防火墙环境下，还需额外设置
COMPOSER_CAFILE指向内部根证书，否则 HTTPS 握手直接失败
审核报告误报漏洞，根源在镜像源未锁定快照
composer audit 在审核阶段报出高危 CVE，但开发环境没报——大概率不是漏补丁，而是审计时拉取了不同版本的 advisories.json。公共镜像站（如阿里云、腾讯云）不提供带时间戳的安全通告快照，每天更新且无版本控制，导致同一份 composer.lock 在不同时间点扫描结果不一致。
实操建议：
- 禁用默认网络请求：
COMPOSER_DISABLE_NETWORK=1 COMPOSER_NO_INTERACTION=1 - 强制指向你托管的静态快照：
--advisories-url https://mirror.internal/sec-advisories-20260706.json - 私有镜像若用
satis搭建，需手动在 web 目录下放advisories.json，并确保 Nginx 返回application/jsonMIME 类型 - 所有自定义通告必须含
affected字段，格式严格为{"name": "vendor/package", "version": ">=1.0.0"}，多一个空格就解析失败
项目级镜像配置被忽略，审核时仍走官方源
你在 composer.json 里写了 "repositories"，但审核流水线还是从 packagist.org 拉包——问题往往出在结构非法或兜底未关。Composer 要求 repositories 必须是对象（{}），不是数组（[]），且必须显式声明 "packagist.org": false，否则它会把镜像当补充源，遇到冲突或缺失时自动 fallback。
实操建议：
- 用命令写入而非手编：
composer config repo.packagist composer https://mirrors.cloud.tencent.com/composer/（不加-g） - 检查生成的
composer.json是否含"packagist.org": false，且位置在repositories对象第一层 - URL 末尾必须带
/，否则请求路径拼成/composerpackages.json，返回 404 - 改完立刻删掉
vendor/和composer.lock，再跑composer install，否则旧 lock 文件仍记录官方源地址
审核通过后部署失败，镜像配置与生产环境不一致
审核阶段用了镜像，部署脚本却没加 --no-interaction 和 --prefer-dist，导致生产环境卡住或回退到慢速 Git clone。更隐蔽的问题是：审核用的是全局镜像，而生产部署用的是项目级配置，两者 URL 不同、同步延迟不同，甚至一个可用一个不可用。
实操建议：
- 部署脚本必须固化参数：
composer install --no-interaction --prefer-dist --optimize-autoloader - 禁止在生产环境跑
composer update，它会重新解析依赖树，触发大量网络请求 - 若审核和生产用不同镜像，应在
composer.json中硬编码多个type: "composer"源，并按优先级排列，配合"packagist.org": false实现 failover - 验证最终行为：在部署机上跑
composer clear-cache && composer install -vvv | grep "Downloading"，确认请求域名是预期镜像地址
