Composer audit是检测PHP项目依赖漏洞的安全工具，从2.5版起内置，通过比对composer.lock与官方漏洞库识别风险；运行composer audit可检查漏洞，支持JSON输出及指定参数，发现漏洞后应升级依赖或评估风险；建议集成到CI/CD中强制检查，确保依赖安全。
在现代PHP开发中，Composer 是管理项目依赖的核心工具。随着项目引入的第三方包越来越多，这些依赖中的安全漏洞可能成为攻击入口。幸运的是，Composer 提供了 composer audit 命令，帮助开发者快速识别项目依赖中存在的已知安全问题。
什么是 composer audit？
从 Composer 2.5 版本开始，audit 命令被正式引入，用于检查当前项目依赖中是否存在已知的安全漏洞。它会读取 composer.lock 文件，将所有安装的依赖与官方维护的漏洞数据库（如 FriendsOfPHP/security-advisories）进行比对。
该命令无需额外安装插件，只要你的 Composer 版本足够新即可使用。
如何运行安全审计？
进入你的 PHP 项目根目录（确保有 composer.lock 文件），执行以下命令：
composer audit
执行后，Composer 会输出类似如下信息：
- 如果发现漏洞：列出受影响的包、漏洞描述、严重程度、CVE 编号和建议修复版本。
- 如果没有问题：显示 “No security vulnerability found” 或类似提示。
你也可以添加参数来控制输出：
- composer audit --format=json：以 JSON 格式输出结果，便于集成到 CI/CD 流程。
- composer audit --locked：仅检查 lock 文件中的直接和间接依赖（默认行为）。
- composer audit --advisory=xxx：只检查特定编号的漏洞。
如何处理发现的漏洞？
当 composer audit 报告漏洞时，不要忽视。以下是应对步骤：
- 查看报告中的“Solution”建议，通常会提示升级到某个安全版本。
- 运行 composer update vendor/package-name 更新对应依赖。
- 更新后重新运行 composer audit 确认问题是否解决。
- 若暂时无法升级（如兼容性问题），应评估风险并在项目文档中标记，同时关注上游修复进展。
注意：某些漏洞可能来自深层嵌套的间接依赖，这时需要查看完整依赖树（composer show --tree）来定位来源。
将安全检查集成到开发流程
为了持续保障项目安全，建议把 composer audit 加入日常开发和部署流程：
- 在本地提交代码前运行一次审计。
- 在 CI/CD 流水线中加入该命令，例如 GitHub Actions 中添加一步：
- name: Run Composer Audit run: composer audit --format=json | tee audit-report.json continue-on-error: false
设置 continue-on-error: false 可让构建在发现漏洞时失败，强制团队及时响应。
基本上就这些。定期使用 composer audit，能帮你提前发现隐患，避免因第三方包漏洞导致数据泄露或服务中断。保持依赖更新，是保障应用安全的重要一环。
