--no-plugins 能提升 composer 安装安全性，因为它强制禁用所有插件加载，跳过 pluginmanager::loadplugins()，从机制上切断因恶意或不可信插件导致的任意代码执行风险。
为什么 --no-plugins 能提升 Composer 安装安全性
Composer 插件在安装时会自动执行代码，而插件来源不受 composer.json 的 require 约束——它可能来自全局配置、项目根目录的 composer.json 中的 plugins 配置，甚至第三方包的 extra.installer-paths。一旦插件被恶意篡改或来自不可信源，composer install 就可能触发任意代码执行。--no-plugins 强制禁用所有插件加载，跳过 PluginManager::loadPlugins() 流程，从机制上切断这一攻击面。
哪些场景必须加 --no-plugins
以下情况不加就可能引入非预期行为或安全风险：
- CI/CD 流水线中执行
composer install（尤其使用共享 runner 或非隔离环境） - 从第三方 fork 或未经审计的仓库拉取代码后首次安装依赖
- 本地开发中临时切换到陌生分支，且该分支修改了
composer.json的extra或启用了未知插件 - 运行
composer update前想绕过插件对版本解析、包下载逻辑的干扰（例如某些插件会重写RepositoryInterface）
--no-plugins 会影响哪些功能
禁用插件后，所有依赖插件实现的功能都会失效，典型包括：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
hirak/prestissimo（并行下载）：恢复为串行下载，速度下降但更可预测 -
composer/installers：不再自动将包安装到wp-content/plugins/等自定义路径，全部回落到vendor/标准位置 - 私有仓库认证插件（如
sensiolabs/security-checker替代品）：不会触发 token 注入或 API 调用 - 自动脚本绑定插件（如监听
post-install-cmd并执行构建）：这些脚本仍会运行，但插件本身不加载，无法干预事件分发链
注意：--no-plugins 不影响 scripts（如 post-install-cmd），只跳过插件注册和初始化阶段。
实际使用建议与易错点
不要把它当成日常开发开关，而是作为“可信边界控制”手段：
- CI 配置中统一加：例如 GitHub Actions 的
run: composer install --no-plugins --no-interaction - 本地验证依赖完整性时用：先
composer install --no-plugins，确认vendor/内容干净；再对比启用插件后的差异 - 别和
--no-scripts混用除非真不需要任何钩子——两者作用域不同，--no-plugins不阻止脚本，--no-scripts不阻止插件 - 遇到
Plugin Manager is disabled via --no-plugins报错？说明某处硬编码调用了PluginManager，此时不是加参数的问题，而是该包设计违反了插件可选原则
真正关键的是理解：插件扩展性是一把双刃剑，而 --no-plugins 是唯一能瞬间切断其执行链的开关。只要环境不可控，它就不是“可选”，而是“必选”。
