首先确认 composer 版本是否支持 audit 命令，从 2.5 版本起内置该功能；通过 composer –version 检查版本，若低于 2.5 则运行 composer self-update 升级。进入项目根目录后执行 composer audit，系统将依据安全 数据库 扫描 composer.lock 中的依赖包，报告漏洞详情，包括软件包名、严重程度、CVE 编号及修复建议。可使用 –with-dependencies、–with-dev-dependencies 或 –with-all-dependencies 参数指定检查范围。为保障持续安全，建议在 CI 流程中集成 composer audit，例如在 gitHub Actions 中添加运行步骤，并采用 –format=json 便于 自动化 处理结果。定期执行此命令有助于及时发现并修复第三方库的安全风险，提升项目安全性。
要使用 composer audit 检查项目中的安全漏洞，首先需要确认你使用的 Composer 版本支持该命令。从 Composer 2.5 版本开始，内置了 audit 命令，用于检测项目依赖中存在的已知安全漏洞。
确保 Composer 版本支持 audit
打开终端，运行以下命令查看 Composer 版本：
composer –version
如果你的版本低于 2.5，需先升级 Composer：
composer self-update
在项目中运行 composer audit
进入你的 php 项目根目录（即包含 composer.json 的目录），执行：
composer audit
该命令会自动检查 composer.lock 文件中所有已安装的依赖包，对比公开的安全数据库（如 github Security Advisory 和 FriendsOfPHP/security-advisories），报告存在风险的包。
输出内容通常包括：
- 受影响的软件包名称
- 漏洞严重程度（低、中、高、严重）
- 漏洞描述和可能的影响
- CVE 编号或参考链接
- 建议的修复版本
仅检查特定类型的依赖
你可以通过参数限制检查范围：
- 只检查生产环境依赖：
composer audit --with-dependencies - 只检查开发依赖：
composer audit --with-dev-dependencies - 同时检查所有依赖：
composer audit --with-all-dependencies
自动化与 CI 集成建议
为了持续保障项目安全，可将 composer audit 加入持续集成流程。例如在 GitHub Actions 中添加步骤：
– name: Check for vulnerabilities run: composer audit –format=json
使用 --format=json 可便于机器解析结果，配合脚本实现自动告警或中断构建。
基本上就这些。定期运行 composer audit 能帮你及时发现并修复第三方库的安全问题，提升项目整体安全性。
以上就是如何使用 composer audit 检查项目中的安全漏洞？的详细内容，更多请关注php 中文网其它相关文章！
