Symfony 写了关于如何检查安全更新的文章：https://symfony.com/doc/current/security/security_checker.html 并且它有效，在 Akeneo 中它向我展示了一个漏洞。
但是怎么更新呢？我尝试了../composer.phar update 和../composer.phar update symfony/symfony，但不幸的是，当我再次检查时，漏洞仍然存在。 (https://github.com/akeneo/pim-community-dev/issues/7146)
【问题讨论】：
composer why dompdf/dompdf:0.6.1和composer why-not dompdf/dompdf:0.6.2的输出吗？
安全检查抱怨包裹 dompdf/dompdf 已过时。所以你必须找出哪个依赖项负责安装这个包。您可以为此使用作曲家：
composer why dompdf/dompdf
一旦您找出安装它的原因，您可以检查是否可以将该依赖项更新到支持/需要较新 dompdf 版本的版本，或者您是否通过自己要求安装它，只需更新它。
或者，您也可以通过以下方式询问作曲家为什么不安装新版本：
composer why-not dompdf/dompdf "^0.8"
如果您无法更新依赖于过时 dompdf 版本的任何依赖项，您可能不得不求助于在该项目中为较新版本创建 PR，或者分叉项目并自己更新 composer.json（虽然不推荐，因为保持更新的额外工作）。
编辑： 看起来 akeneo 本身负责固定版本，正如您在 repo 中看到的那样：https://github.com/akeneo/pim-community-dev/blob/2.0/composer.json#L41
也许你可以创建一个 PR 更新 composer.json 并可能放宽 dompdf 的版本限制。
【讨论】：
NicoHaase 提到了我想说的答案：https://github.com/akeneo/pim-community-dev/issues/7146#issuecomment-344206254
任何人都不应编辑 composer.lock。只需阅读链接中的错误报告 我之前的评论：Akeneo 的维护者知道这些过时的 包并计划在未来的任何时候修复它们
错误报告https://github.com/akeneo/pim-community-dev/issues/5233 于 2016 年 11 月 17 日创建，但遗憾的是仍然没有。开发者说要等。
【讨论】：
您是否查看了您链接的“错误报告”中给出的答案？ ;)
【讨论】：