composer audit 从不误报，它仅报告 Packagist 安全数据库中已收录且与 composer.lock 版本精确匹配的漏洞；所谓“误报”实为未理解其不分析调用路径、上下文或缓解措施等限制。
composer audit 不是误报多，而是它根本不会“误报”——它只报告 Packagist 安全数据库里已收录、且匹配 composer.lock 中精确版本号的 advisory。所谓“误报”，90% 是你没看清它的输入源、过滤条件或数据覆盖边界。
为什么 composer audit 显示 CVE，但项目实际不受影响
它不分析你的代码调用路径，也不判断漏洞是否可达。只要某包某版本在 PHP-SECADV 库中标记为“存在远程代码执行”，audit 就会报——哪怕你只用了其中一行日志打印功能，且压根没传用户输入。
- 漏洞需满足特定上下文（如启用某个扩展、配置某项开关）才可利用，audit 不做上下文推断
- 你用的是 fork 分支或 patch 后的私有版本，但
composer.lock里仍记录原始包名和官方版本号，audit 无法识别 - 漏洞修复仅需改一行配置（如禁用
allow_url_include），而非升级代码，audit 不评估这种缓解措施
composer audit --severity= 的实际过滤效果
参数值不是自由填写的，只接受 critical、high、medium、low 四个字符串，大小写敏感；多个等级需重复写多次，不能用逗号分隔。
- 错例：
composer audit --severity=critical,high→ 只生效critical，high被忽略 - 对例：
composer audit --severity=critical --severity=high -
--severity=low会拉出大量陈旧、理论可利用但无公开 PoC 的条目，CI 中建议跳过 - 不加
--severity时默认输出全部等级，退出码仍按最高等级判定（哪怕只有一条low，也返回非零）
用 --ignore 跳过已知可控漏洞的注意事项
这个选项不是“关闭检查”，而是显式声明豁免。它只接受 CVE 编号（如 CVE-2023-12345），不支持包名或版本号。
- 必须确保编号准确：
CVE-2023-12345和cve-2023-12345效果不同（后者无效） - 多个 CVE 用英文逗号分隔：
--ignore=CVE-2023-12345,CVE-2024-67890 - 豁免后，该 CVE 不再计入退出码，但仍在 JSON 输出的
ignored字段中记录，供审计追溯 - 禁止在 CI 脚本里硬编码
--ignore，应通过COMPOSER_AUDIT_IGNORE环境变量注入，便于统一管理
真正容易被忽略的过滤前提
所有过滤都建立在 audit 能正常跑完的基础上。而它失败时往往静默跳过，不报错也不输出——你以为“没漏洞”，其实是“没查成”。
-
composer.lock文件权限为只读，或被.gitignore排除 → audit 直接退出，返回码 0（看起来成功了） - 镜像源配置为阿里云/腾讯云，但它们不提供
/security-advisories接口 → audit 报Could not fetch advisories后终止，不输出任何 advisory - 运行时网络超时，默认等待 60 秒，CI 中可能卡住构建 → 必须加
--timeout=30 - 私有包未在
composer.json的repositories中声明type: "composer"且含security-advisories字段 → audit 默认不扫描，也不会警告
