pip-audit 本身不支持自动定期执行，需借助 cron 或 ci 等外部调度；必须显式指定依赖文件、激活虚拟环境、输出 json 并附加环境上下文；ci 中应限制严重等级、避免 exit 1 中断流程；联网问题需通过 --offline+缓存更新或代理解决。
pip-audit 命令本身不支持自动定期执行
它只是个一次性的安全扫描工具，没有内置调度、报告归档或增量比对能力。想“定期巡检”，必须靠外部机制驱动——本质是把 pip-audit 当成一个检查命令塞进定时任务里。
常见错误现象：pip-audit --fix 被误当成自动化修复工具；实际它只对可安全升级的包做交互式确认，不能静默批量修；直接丢进 crontab 却没处理虚拟环境路径，导致扫描了系统 Python 而非项目依赖。
- 用
pip-audit -r requirements.txt显式指定依赖源，避免扫描当前激活环境的不确定状态 - 加
--json输出结构化结果，方便后续解析或存档，比如：pip-audit -r reqs.txt --json > audit-$(date +%F).json - 务必在脚本开头用
source venv/bin/activate或直接调用venv/bin/pip-audit，否则 cron 默认 PATH 下找不到你项目里的 pip-audit
如何让 pip-audit 输出可读告警而不中断 CI 流程
CI 中跑 pip-audit 最怕两点：一是有漏洞就直接 exit 1 导致构建失败，二是全量输出刷屏看不出重点。关键不是禁用退出码，而是分层响应。
使用场景：GitHub Actions / GitLab CI 中集成巡检，但允许低危漏洞暂不阻断，仅高危时失败。
立即学习“Python免费学习笔记（深入）”；
- 用
--severity high,critical限定只报严重及以上问题，避免噪声干扰 - 加
--no-desc减少冗余描述，让每条漏洞占一行，便于 grep 或日志提取 - 不要用
set -e粗暴捕获失败，改用pip-audit ... || true获取输出后手动判断：if [ $(pip-audit ... | jq 'length') -gt 0 ]; then echo "HIGH CRITICAL FOUND"; exit 1; fi
pip-audit 扫描结果难追溯？得绑定环境上下文
单次 JSON 输出里没有时间戳、Python 版本、pip 版本、甚至 requirements.txt 的 hash，过两天回看 audit-2024-06-15.json 根本不知道它对应哪个分支、哪次提交、有没有漏掉 dev-dependencies。
性能影响很小，但缺失上下文会让多次扫描失去对比价值。
- 在生成报告前，用
python -V、pip --version、git rev-parse HEAD、sha256sum requirements.txt写入同一目录下的context.json - 把
pip-audit和pip list --outdated --format=freeze结果一起存，能区分是已知漏洞还是单纯过期包 - 别用
pip-audit --require-hashes—— 它只校验安装时的哈希，和漏洞扫描无关，还可能因 hash 不匹配直接报错退出
为什么 pip-audit 在某些 CI 环境里总超时或报连接错误
默认行为会访问 PyPI 的安全数据库（https://pypi.org/security/）和 GitHub Advisory Database，国内或受限网络下容易卡住或 403。这不是 bug，是设计使然——它需要最新漏洞数据。
兼容性影响：关掉联网就等于退化为本地缓存扫描，可能漏掉近一周新披露的 CVE。
- 加
--offline可跳过联网，但必须先手动更新缓存：pip-audit --update（需在可联网机器上定期运行） - 换源无效，因为
pip-audit不走 pip 配置的 index-url，它直连固定 API；如需代理，设环境变量HTTP_PROXY和HTTPS_PROXY - 超时默认 15 秒，不够用就加
--timeout 60，尤其在低带宽 CI runner 上
