composer audit可检测PHP依赖中的安全漏洞，扫描composer.lock文件并与安全数据库比对，识别如远程代码执行等风险，支持分级预警，并可集成至CI/CD实现自动化检查，提升项目安全性。
当你在项目中使用 Composer 管理 PHP 依赖时，composer audit 是一个非常实用的命令，它能帮助你快速识别当前依赖树中存在的已知安全漏洞。
检查已安装包的安全漏洞
运行 composer audit 后，Composer 会扫描 composer.lock 文件中记录的所有已安装依赖，并与公开的安全数据库（如 the PHP Security Advisories Database）进行比对。如果某个依赖版本存在已披露的安全问题，比如远程代码执行、SQL 注入或反序列化漏洞，该命令会明确列出这些风险。
例如，如果你使用了某个旧版本的 Guzzle 或 Symfony 组件，而它们已被报告存在安全缺陷，composer audit 会在终端中输出类似警告：
- Package foo/bar has a known vulnerability: CVE-2023-12345 - Improper Input Validation
- Found 1 high severity issue in your dependencies.
支持不同级别的风险提示
该命令不仅能发现高危漏洞，还能区分不同严重级别（如低、中、高、严重）。你可以根据输出结果判断是否需要立即升级或替换某个组件。这有助于团队在开发或部署前及时响应潜在威胁，而不是等到生产环境出问题才处理。
集成到开发流程中提升安全性
你可以在 CI/CD 流程、预提交钩子或定期维护任务中加入 composer audit，实现自动化安全检查。只要发现风险，构建过程可被中断，从而强制开发者修复问题。这种主动防御机制大大降低了因第三方库引入安全隐患的可能性。
基本上就这些。合理使用 composer audit 能让你更早发现问题，避免踩坑。虽然它不解决漏洞本身，但提供了关键的预警能力，是现代 PHP 项目安全实践中的重要一环。
