composer audit本身不拦截漏洞，只报告已知CVE；真正实现“精准拦截”需在CI中用--format=json配合jq解析输出并主动exit 1，因audit默认返回码恒为0且不修改依赖。
Composer 的 audit 命令本身不拦截漏洞，它只报告；真正能“精准拦截”的是配合 composer install 或 composer update 时启用的 --dry-run + 自定义钩子，或更可靠的方式：在 CI 中用 composer audit --format=json 配合脚本做退出控制。
为什么 composer audit 不会自动中断安装
这是设计使然：audit 是只读诊断命令，类似 npm audit，它默认输出报告后就退出，返回码恒为 0（即使发现高危漏洞）。很多团队误以为加了这个命令就能卡住流水线，结果漏洞包照常装进 vendor —— 因为没做任何 exit 或 fail 处理。
-
composer audit返回码始终是 0，无法直接用于if判断 - 它不检查
vendor/实际内容，只查composer.lock中记录的版本是否在已知漏洞库中被标记 - 漏洞数据源来自 composer/composer-advisories，不是实时连接 CVE 数据库，存在数小时到数天延迟
如何让 composer audit 真正“拦截”构建
关键不是运行命令，而是解析它的输出并主动退出。最轻量且兼容性好的方式是用 --format=json + jq：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
composer audit --format=json | jq -e 'length > 0 and any(.advisories[]; .severity == "critical" or .severity == "high")' > /dev/null || exit 1
说明：
-
--format=json是必须的，文本格式无法稳定解析 -
jq -e让 jq 在匹配失败时返回非零退出码，触发|| exit 1 - 只拦截
critical和high，避免因低危问题阻断交付（可根据团队策略调整） - 该命令应放在 CI 脚本中
composer install之后、应用启动之前
composer audit 查不到刚爆出的漏洞怎么办
因为 Composer 官方的 advisory 数据库更新有滞后，尤其对未被 Packagist 收录的私有包或新披露 CVE，audit 几乎必然漏报。
- 确认漏洞是否已录入 composer/composer-advisories（搜
vendor/package-name） - 私有包需手动维护
advisories.json并通过COMPOSER_AUDIT_PATH环境变量注入 - 更稳妥的做法是并行调用第三方工具，如
phpstan-security或sensio-labs/security-checker（后者已归档，但本地镜像仍可用） - 不要依赖
audit做唯一防线，它只是辅助层；真正的拦截应在依赖声明阶段（如composer require --no-update后先audit再update）
真正容易被忽略的是：即便 audit 报出漏洞，如果 lock 文件里锁的是旧版带漏洞的包，而你没运行 composer update vendor/package-name，下次 install 还是会装那个旧版——audit 不会、也不能替你升级。
