Composer audit不读repo.packagist配置，其漏洞查询硬编码指向https://packagist.org/advisories，镜像仅代理元数据；需保留官方源、启用signature验证并确保diagnose显示secure-http: OK和signature verification: OK。
composer config -g repo.packagist 配置后 audit 仍走官方源？
镜像配置和安全扫描是两条独立链路，repo.packagist只影响元数据拉取路径，而composer audit默认仍向packagist.org发起安全数据库查询——除非你显式启用签名验证并保留官方源代理模式。
常见错误现象：composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/后，composer audit日志里依然出现GET https://packagist.org/packages/list.json，且报Connection timed out。
- 根本原因：
audit命令不读取repo.packagist配置，它硬编码调用官方漏洞 API（https://packagist.org/advisories），镜像站不提供该接口 - 正确做法是保留官方源 + 启用签名验证 + 仅代理元数据：
composer config -g repos.packagist.type composer+composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/+composer config -g security.signature true - 验证是否生效：
composer diagnose输出中必须同时含secure-http: OK和signature verification: OK，且repos.packagist字段显示为镜像 URL
插件安全扫描（audit）与镜像源冲突的典型报错
composer audit在镜像源配置不当情况下会直接失败，不是慢，而是无法启动扫描流程。
常见错误信息：Could not fetch https://packagist.org/advisories?package=monolog/monolog&version=2.12.0: Failed to connect to packagist.org port 443: Connection refused。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 这不是网络问题，是配置矛盾：你禁用了
packagist.org（"packagist.org": false），但audit强制依赖它提供漏洞数据 - 不要在
repositories里写"packagist.org": false——这是install/update用的开关，audit不认这个键 - 真正安全的配置是“双轨制”：元数据走镜像（
repos.packagist），漏洞库走官方（不可绕过），包文件校验走签名（security.signature） - 若团队内部有私有漏洞库，可用
composer config -g security.advisory-url https://your-internal-advisory-api/覆盖默认地址
composer audit --no-dev 为什么还是扫到 dev 包？
因为--no-dev只控制installed.json中是否包含require-dev包，而audit扫描的是vendor/目录下所有已解压的包——哪怕它们来自require-dev，只要物理存在，就全量检查。
真实场景：CI 中跑composer install --no-dev后执行composer audit --no-dev，结果仍报phpunit/phpunit有 CVE。
- 原因：
phpunit/phpunit可能被其他包（如symfony/console）作为require间接引入，它不在require-dev里，但存在于vendor/ - 想精准排除，得用
--ignore白名单：composer audit --ignore=phpunit/phpunit,doctrine/annotations - 更稳妥的做法是清理环境：
rm -rf vendor && composer install --no-dev --prefer-dist --optimize-autoloader，再扫——确保vendor/里只有生产依赖 - 注意：
composer audit不读composer.lock的platform或config字段，只看vendor/composer/installed.json实际内容
镜像源失效时 audit 是否自动 fallback？
不会。一旦repos.packagist.url指向的镜像返回非 200 或 JSON 解析失败，composer audit立即终止，不尝试下一个镜像，也不退回到packagist.org。
例如：清华源证书过期导致 HTTPS 请求失败，composer audit直接报cURL error 60: SSL certificate problem，而非切到阿里云镜像。
- Composer 原生不支持多镜像 failover for audit；它的
repositories顺序机制只对install/update生效 - 临时救急：手动指定备用源，
composer audit --repository=https://mirrors.aliyun.com/composer/（注意该参数仅限 Composer 2.5+） - 长期方案：监控镜像健康状态，用脚本定期跑
curl -fsSL --max-time 3 https://mirrors.tuna.tsinghua.edu.cn/composer/p2/monolog/monolog.json | jq -e 'has("packages")'，失败则自动切换repos.packagist.url - 关键细节：切换后必须运行
composer clear-cache，否则audit仍用旧缓存里的元数据
audit走的是另一条请求路径，它不看你repo.packagist配了啥，也不管你删没删vendor/，只认repos.packagist、security.signature和本地installed.json这三样东西。漏掉任何一个，安全扫描就形同虚设。 
