composer audit依赖Packagist官方维护的security-advisories数据库，实时通过HTTPS请求https://packagist.org/security-advisories获取JSON数据，比对composer.lock中精确版本；国内镜像源普遍不同步该接口，需直连官方源才能生效。
composer audit 依赖的漏洞库从哪来
它用的是 Packagist 官方维护的 security-advisories 数据库，不是本地缓存，也不是第三方镜像自建的。每次执行 composer audit，Composer 会实时向 https://packagist.org/security-advisories 发起 HTTP 请求，拉取最新 JSON 格式的数据，然后拿 composer.lock 里每个包的精确版本号去比对。
国内镜像源是否同步漏洞库
绝大多数国内镜像（阿里云、腾讯云、华为云）不同步 security-advisories 接口。它们只镜像包下载地址（packages.json 和 dist 文件），而安全公告是独立服务，需直连 Packagist.org 才能获取。
- 如果你全局配置了阿里云镜像：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/，composer audit仍会尝试访问官方安全接口——但若网络受限或 DNS 污染，就会超时或静默失败 - 验证方式：运行
composer audit --no-interaction --timeout=5，若返回空或报cURL error 28，基本就是连不上官方安全库 - 临时绕过：删掉镜像配置（
composer config --global --unset repos.packagist），audit 就能走默认通道；长期方案是确保 CI/CD 环境可直连 Packagist.org
漏洞数据更新频率与覆盖范围
Packagist 的 security-advisories 库由社区和 Packagist 团队人工审核收录，不是全自动爬取。平均更新延迟为 1–7 天，高危 CVE 通常 24 小时内入库，但老旧包、私有包、dev- 分支版本默认不收录。
- 只收录明确声明了
advisory的包——即作者或 Packagist 官方主动提交了安全通告 - 不包含“疑似风险”或静态分析推断的漏洞，比如未授权访问逻辑缺陷、业务层越权等
- 不覆盖未发布到 Packagist.org 的私有仓库包，除非你在
composer.json的repositories中显式声明了支持security-advisories的私有源
如何确认 audit 实际查到了什么
别只信终端输出有没有红字。最可靠的方式是强制导出原始结果：
composer audit --format=json --no-dev | jq '.advisories | length'
如果返回 0，说明没命中任何已知通告——但这不等于“安全”，可能只是漏洞还没被收录，或当前版本不在 affectedVersions 范围内。
真正要盯住的，是每条 advisory 中的 affectedVersions 字段是否匹配你 composer.lock 里的实际安装版本，以及 link 字段指向的原始公告是否仍在有效期内。很多所谓“修复版本”其实在后续补丁中又被发现绕过，得手动点开链接看最新评论。
