Composer从2.5版本起提供audit命令，基于FriendsOfPHP/security-advisories数据库检测依赖中的已知安全漏洞；运行composer audit可扫描composer.lock文件，识别存在警告、严重或信息级别风险的包，并给出修复建议；开发者应根据输出更新依赖、调整版本约束或反馈问题，同时将audit集成至CI/CD流程和日常开发中，提升项目安全性。
Composer 提供了 audit 命令，用于检测项目中依赖的 PHP 包是否存在已知的安全漏洞。这个功能从 Composer 2.5 版本开始引入，基于公开的漏洞数据库（如 FriendsOfPHP/security-advisories），帮助开发者在开发和部署前及时发现问题。
启用 audit 命令检查安全漏洞
要在项目中使用 audit 功能，确保你使用的是 Composer 2.5 或更高版本。可以通过以下命令检查当前版本：
// 检查 composer 版本composer --version
如果版本符合要求，直接运行以下命令来扫描项目中的依赖：
// 扫描 lock 文件中的依赖是否有已知漏洞composer audit
该命令会自动读取 composer.lock 文件，并比对其中每个依赖包的版本是否存在于已知漏洞列表中。
理解 audit 的输出结果
执行 composer audit 后，可能看到几种类型的提示：
- 警告（Warning）：某个依赖包存在已知安全问题，建议尽快升级
- 严重（Critical）：漏洞可能导致远程代码执行、权限绕过等高风险问题
- 信息（Info）：某些间接依赖（dev 或非生产环境）存在问题，视情况处理
每条报告通常包含漏洞描述、受影响版本范围、修复建议以及参考链接（如 CVE 编号或 advisory 页面）。
根据 audit 结果进行修复
发现漏洞后，应根据提示更新相关依赖。常见操作包括：
- 运行 composer update vendor/package 升级特定包
- 修改 composer.json 中的版本约束，跳过有漏洞的版本
- 查看项目依赖树：composer show --tree，确认是哪个组件引入了问题包
有些情况下，问题包可能是间接依赖，此时需要更新其上游包，或向维护者反馈安全问题。
集成到日常开发流程
为了持续保障项目安全，可将 audit 命令加入常规工作流：
- 在 CI/CD 流程中添加 composer audit 步骤，失败则中断构建
- 本地提交代码前手动运行一次检查
- 定期执行 audit，尤其是在部署前或依赖变更后
也可通过配置阻止安装已知有问题的版本：
// 安装时也进行安全检查composer install --with-dependencies --lock
虽然目前没有“--fail-on-vulnerability”这类选项，但结合脚本可实现自动化拦截。
基本上就这些。Composer audit 不会自动修复问题，但它提供了一个简单有效的方式让你主动发现风险，及时响应。保持依赖更新、定期扫描，是维护 PHP 项目安全的重要一环。
