composer audit 可直接扫描 PHP 8.0 项目依赖漏洞，要求 Composer ≥2.4，基于 packagist 漏洞库比对 composer.lock 版本，不依赖 PHP 版本，只读安全，支持 JSON 输出与生产环境专用扫描。
直接用 composer audit 就能扫描 PHP 8.0 项目中的已知依赖漏洞，前提是 Composer 版本 ≥ 2.4（2022 年起默认集成）。它不依赖 PHP 版本本身，而是基于 packagist 官方漏洞数据库比对 composer.lock 中记录的实际安装版本。
确认环境是否支持 audit
运行以下命令检查：
-
composer --version—— 输出需为 2.4.0 或更高 -
composer audit --help—— 若无报错且显示参数说明，即已就绪 - 若提示 “Command 'audit' is not defined”，请先升级：
composer self-update
执行基础漏洞扫描
在项目根目录下运行：
-
composer audit—— 默认扫描所有 require 和 require-dev 的包，输出中高危漏洞（CVE）会标红加粗 -
composer audit --format=json—— 适合 CI/CD 集成或脚本解析 -
composer audit --no-dev—— 仅扫描生产依赖（推荐上线前使用）
注意：该命令不修改任何文件，只读取 composer.lock，因此可安全用于生产环境镜像构建阶段。
立即学习“PHP免费学习笔记（深入）”；
补充检测（兼容旧版或增强覆盖）
如果 audit 未覆盖某些老旧组件，或你希望交叉验证，可搭配以下工具：
-
PHP Security Checker（官方轻量工具）：
curl -sS https://php-security-checker.herokuapp.com/check | php composer.lock
支持 PHP 8.0+，专查 CVE，响应快，但数据库更新略滞后于audit -
Snyk CLI（需注册）：
snyk test --file=composer.lock --package-manager=composer
提供修复建议和路径溯源，对供应链投毒类风险识别更细
关键后续动作
发现漏洞后，不能只看“有漏洞”，要判断是否真实影响：
- 查看漏洞详情中的 affected versions 范围，确认当前 lock 文件中安装的版本确实在其中
- 检查该包是否被实际调用（例如 dev-only 工具类库，即使有漏洞也无运行时风险）
- 优先用
composer update vendor/package --with-dependencies升级到已修复版本；若无法升级，考虑临时禁用相关功能或加补丁 - 更新后务必重新运行
composer audit并提交新的composer.lock
