首先确认Composer版本是否支持audit命令，从2.5版本起内置该功能；通过composer --version检查版本，若低于2.5则运行composer self-update升级。进入项目根目录后执行composer audit，系统将依据安全数据库扫描composer.lock中的依赖包，报告漏洞详情，包括软件包名、严重程度、CVE编号及修复建议。可使用--with-dependencies、--with-dev-dependencies或--with-all-dependencies参数指定检查范围。为保障持续安全，建议在CI流程中集成composer audit，例如在GitHub Actions中添加运行步骤，并采用--format=json便于自动化处理结果。定期执行此命令有助于及时发现并修复第三方库的安全风险，提升项目安全性。
要使用 composer audit 检查项目中的安全漏洞，首先需要确认你使用的 Composer 版本支持该命令。从 Composer 2.5 版本开始，内置了 audit 命令，用于检测项目依赖中存在的已知安全漏洞。
确保 Composer 版本支持 audit
打开终端，运行以下命令查看 Composer 版本：
composer --version如果你的版本低于 2.5，需先升级 Composer：
composer self-update在项目中运行 composer audit
进入你的 PHP 项目根目录（即包含 composer.json 的目录），执行：
该命令会自动检查 composer.lock 文件中所有已安装的依赖包，对比公开的安全数据库（如 GitHub Security Advisory 和 FriendsOfPHP/security-advisories），报告存在风险的包。
输出内容通常包括：
Shopxp网上购物系统
下载
Shopxp购物系统历经多年的考验，并在推出shopxp免费购物系统下载之后，收到用户反馈的各种安全、漏洞、BUG、使用问题进行多次修补，已经从成熟迈向经典，再好的系统也会有问题，在完善的系统也从在安全漏洞，该系统完全开源可编辑，当您下载这套商城系统之后，可以结合自身的技术情况，进行开发完善，当然您如果有更好的建议可从官方网站提交给我们。Shopxp网上购物系统完整可用，无任何收费项目。该系统经过
- 受影响的软件包名称
- 漏洞严重程度（低、中、高、严重）
- 漏洞描述和可能的影响
- CVE 编号或参考链接
- 建议的修复版本
仅检查特定类型的依赖
你可以通过参数限制检查范围：
-
只检查生产环境依赖：
composer audit --with-dependencies -
只检查开发依赖：
composer audit --with-dev-dependencies -
同时检查所有依赖：
composer audit --with-all-dependencies
自动化与 CI 集成建议
为了持续保障项目安全，可将 composer audit 加入持续集成流程。例如在 GitHub Actions 中添加步骤：
使用 --format=json 可便于机器解析结果，配合脚本实现自动告警或中断构建。
基本上就这些。定期运行 composer audit 能帮你及时发现并修复第三方库的安全问题，提升项目整体安全性。
