Composer如何使用allow-plugins安全配置_Composer allow-plugins安全配置攻略-composer-PHP中文网

allow-plugins 必须配置在项目 composer.json 的 config 节点下，为对象格式，插件名须与包名完全一致；推荐白名单加 "*": false 安全兜底，禁用星号通配符，ci 中使用 --no-plugins，生产环境应禁用插件。

composer如何使用allow-plugins安全配置_composer allow-plugins安全配置攻略

allow-plugins 必须写在项目 composer.json 里，全局 config 无效

很多人试过 composer config --global allow-plugins ["phpstan/extension-installer"]，结果 composer install 还是报错——因为从 Composer 2.2 开始，allow-plugins 只认项目级 composer.json 中的配置，--global 或环境变量完全不生效。

常见错误现象：Invalid value for allow-plugins, expected object，说明你用了旧版数组语法；或者提示某插件被拦截但没反应，大概率是配在了全局配置或拼错了路径。

必须放在 composer.json 的 config 节点下，结构为对象（不是数组）
插件名必须和其 composer.json 中的 name 字段**完全一致**，比如 phpstan/extension-installer，不能写成 phpstan-extension-installer 或漏掉 /
如果项目用到了 laravel/pint 和 symfony/flex，就得明确列出这两项，缺一不可

别用 true/false 全局开关，用白名单 + 星号兜底

设 "allow-plugins": true 等于放弃安全控制，Composer 8+ 直接拒绝加载；设 false 虽然安全，但会把所有插件（包括 composer/installers）一并禁掉，导致 require 的包根本装不上。

真正可控又安全的写法是白名单 + "*": false：

{"config": {"allow-plugins": {"phpstan/extension-installer": true, "laravel/pint": true, "*": false}}}

这样既放行了你确认需要的插件，又堵死了未声明插件的执行路径。星号规则必须放在最后，否则会覆盖前面的显式声明。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

"*": true 是危险操作，等同于开后门，2026 年已有多起供应链攻击利用此配置绕过拦截
开发中临时禁用某个插件但又不想删依赖？直接设为 false，例如 "my-org/malicious-test-plugin": false，它仍会被安装，但不会激活
CI 流水线中建议加 --no-plugins 参数强制跳过所有插件，避免配置遗漏引发非预期行为

漏配插件会导致 dev 依赖“装了却没用”

很多团队发现 composer require --dev phpstan/phpstan 成功了，但运行 vendor/bin/phpstan 就报错找不到扩展——问题往往出在 phpstan/extension-installer 没进 allow-plugins 白名单。

这类插件不提供可执行命令，而是通过钩子自动注册 PHPStan 扩展，一旦被拦截，工具就无法加载自定义规则。

常见踩坑插件： phpstan/extension-installer、dealerdirect/phpcodesniffer-composer-installer、symfony/flex、laravel/pint
首次运行 composer install 时，Composer 会明确打印被拦截的插件列表，把它复制出来逐个核对是否在白名单里
用 composer show --plugins 可查看当前已激活的插件，验证配置是否生效