首先确认composer版本是否支持audit命令，从2.5版本起内置该功能；通过composer –version检查版本，若低于2.5则运行composer self-update升级。进入项目根目录后执行composer audit，系统将依据安全数据库扫描composer.lock中的依赖包，报告漏洞详情，包括软件包名、严重程度、CVE编号及修复建议。可使用–with-dependencies、–with-dev-dependencies或–with-all-dependencies参数指定检查范围。为保障持续安全，建议在CI流程中集成composer audit，例如在gitHub Actions中添加运行步骤，并采用–format=json便于自动化处理结果。定期执行此命令有助于及时发现并修复第三方库的安全风险，提升项目安全性。
要使用 composer audit 检查项目中的安全漏洞，首先需要确认你使用的 Composer 版本支持该命令。从 Composer 2.5 版本开始，内置了 audit 命令，用于检测项目依赖中存在的已知安全漏洞。
确保 Composer 版本支持 audit
打开终端，运行以下命令查看 Composer 版本：
composer –version
如果你的版本低于 2.5，需先升级 Composer：
composer self-update
在项目中运行 composer audit
进入你的 php 项目根目录（即包含 composer.json 的目录），执行：
composer audit
该命令会自动检查 composer.lock 文件中所有已安装的依赖包，对比公开的安全数据库（如 github Security Advisory 和 FriendsOfPHP/security-advisories），报告存在风险的包。
输出内容通常包括：
- 受影响的软件包名称
- 漏洞严重程度（低、中、高、严重）
- 漏洞描述和可能的影响
- CVE 编号或参考链接
- 建议的修复版本
仅检查特定类型的依赖
你可以通过参数限制检查范围：
- 只检查生产环境依赖：
composer audit --with-dependencies - 只检查开发依赖：
composer audit --with-dev-dependencies - 同时检查所有依赖：
composer audit --with-all-dependencies
自动化与 CI 集成建议
为了持续保障项目安全，可将 composer audit 加入持续集成流程。例如在 GitHub Actions 中添加步骤：
– name: Check for vulnerabilities run: composer audit –format=json
使用 --format=json 可便于机器解析结果，配合脚本实现自动告警或中断构建。
基本上就这些。定期运行 composer audit 能帮你及时发现并修复第三方库的安全问题，提升项目整体安全性。