Composer如何配置插件黑名单 Composer运行环境安全设置-composer-PHP中文网

composer无插件黑名单机制，仅支持allow-plugins白名单和--no-plugins临时禁用；{"*": false}等写法会被忽略，通配符不被支持，唯一可靠全禁方式是--no-plugins。

composer如何配置插件黑名单 composer运行环境安全设置

Composer 没有插件“黑名单”机制，只有白名单（allow-plugins）和临时禁用（--no-plugins）两种控制方式。试图用通配符或 "*": false 实现黑名单，实际会被忽略或导致配置无效。

Composer 的 allow-plugins 字段只接受三种值：true、false 或字符串数组。它不支持对象形式的键值对（如 {"*": false}），也不识别通配符、正则或排除语法：

"allow-plugins": {"*": false} —— 会被 Composer 忽略，等同于未设置，插件仍可能加载（取决于版本）
"allow-plugins": ["!phpstan/extension-installer"] —— 语法错误，JSON 不合法，composer install 直接失败
"allow-plugins": ["vendor/*"] —— 不支持通配符，该条目无效，Composer 不报错但也不生效

当你需要跳过所有插件执行（例如排查 CI 失败、验证是否由插件引发冲突），--no-plugins 是最直接、最安全的方式：

Workflow Decomposer

工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。

下载

从 Composer 2.2 起，未显式列入 allow-plugins 数组的插件，即使已安装，也完全不会加载——这不是警告，是静默拒绝：

插件名必须和 composer show 输出的 name 完全一致，大小写敏感（如 dealerdirect/phpcodesniffer-composer-installer，不是 phpcodesniffer-composer-installer）
必须写在 composer.json 根级，不能放在 config 或 extra 下
如果用了 symfony/flex，就必须加进去，否则 recipes 不会自动执行
CI 环境失败常见原因是：本地 composer update 成功并生成了 composer.lock，但新机器上没配 allow-plugins，导致插件加载失败而中断

很多所谓“插件被禁用”的报错，其实根本不是配置问题，而是 PHP 环境缺失关键函数：

检查 proc_open 是否被禁用：php -r "var_dump(function_exists('proc_open'));" → 返回 false 就是它
某些插件依赖 pcntl_signal，尤其 Symfony 6.2+ 生态，缺失时会转为致命错误
插件声明的 composer-plugin-api 版本与当前 Composer 不兼容（如插件写 "^1.0"，你用的是 Composer 2.x），composer diagnose --verbose 末尾会明确提示
永远不要以 root 运行 composer install：Composer 2.4.2+ 会自动禁用插件，并可能拒绝执行