如何为Composer项目设置依赖安装的安全限制条件？

本文共计925个文字，预计阅读时间需要4分钟。

使用Composer安装包时，为确保安全性，您应避免中断流程。例如，若要安装已知存在RCE漏洞的guzzlehttp/guzzle版本，您可以在composer.lock文件中锁定该版本。所谓安全拦截仅在Composer 2.9及以上版本中默认启用，且仅对update命令生效；对于install命令，默认保持静默，除非您主动添加检查环节。

必须组合命令才能让安装阶段具备卡点能力：

• composer install --no-interaction 后立即跟 composer audit --severity=high --severity=critical --no-dev
• CI 中务必加 --no-dev，否则 phpunit 或 mockery 的中低危漏洞会淹没真实风险
• --severity 不支持 medium 或 low，写了也无效，别白费劲
• 若网络受限（如内网 CI），提前运行 composer security:check --no-interaction 缓存结果（该命令兼容旧版）

如何确认 audit 命令真正在工作

composer audit 不是开箱即用的功能：它从 Composer 2.5+ 引入，但默认关闭，且依赖全局配置和网络连通性。