composer全局配置默认写入~/.composer/config.json，若被root执行过则整个目录变为root:root，导致普通用户无法写入缓存、auth或lock文件；同时auth.json若权限为644，其他用户可窃取私有仓库凭据，须立即执行sudo chown -r $user:$user ~/.composer、chmod 700 ~/.composer、chmod 600 ~/.composer/auth.json修复。
composer config --global 配置写入位置与权限风险
全局配置默认写入 ~/.composer/config.json，但很多人忽略这个文件及其父目录的属主和权限——一旦被 root 用户执行过 composer config --global，整个 ~/.composer/ 目录很可能变成 root:root。后续普通用户运行 composer install 会因无法写入缓存、auth 或 lock 文件而失败，更严重的是：若该目录下存在 auth.json（含私有仓库凭据），且权限是 644，其他本地用户可直接读取。
必须立即检查并修复：
-
ls -ld ~/.composer—— 若非$USER:$USER，执行sudo chown -R $USER:$USER ~/.composer -
chmod 700 ~/.composer—— 禁止组和其他用户访问整个配置目录 -
chmod 600 ~/.composer/auth.json—— 即使不存在也要确保创建时权限正确；若文件不存在，composer config --global http-basic.example.com user pass会自动创建，但依赖当前 umask，务必提前设好
vendor 目录权限失控的真实原因不是 chmod 777
报错 file_put_contents(/path/to/vendor/autoload.php): Permission denied，95% 情况下不是因为权限数字太小，而是 vendor/ 下部分文件属主为 root（比如在 Docker 容器里用 root 跑了 composer install），导致当前用户无权覆盖。此时 chmod -R 777 vendor/ 反而让 vendor/bin/ 下的脚本（如 phpunit）被 CI 系统拦截或安全扫描标记为高危。
正确做法是归还属主：
- 确认当前用户：
echo $USER - 修复命令（复制即用）：
sudo chown -R $USER:$USER vendor/ composer.lock - 顺手清理缓存避免干扰：
composer clear-cache - Dockerfile 中应显式设置：
RUN umask 0022 && composer install --no-dev --optimize-autoloader
auth.json 权限泄露导致私有仓库凭据被盗
~/.composer/auth.json 存储所有私有源认证信息，包括 Artifactory 的 API key、GitLab 的 Personal Access Token。若权限为 644 或 664，同服务器其他用户可通过 cat ~/.composer/auth.json 直接获取凭证，进而拉取企业内部包、甚至推送恶意版本。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
关键控制点：
- 创建前先设权限：
umask 0077，再执行任何composer config --global http-basic... - 已有文件必须立刻收紧：
chmod 600 ~/.composer/auth.json - 禁止将
auth.json提交到 Git；CI 中应通过 secret 注入，并在 job 开头用mkdir -p ~/.composer && echo "$AUTH_JSON" > ~/.composer/auth.json && chmod 600 ~/.composer/auth.json - 若使用
composer config --global github-oauth.github.com xxx，同样受auth.json权限约束，别以为 OAuth 就能豁免
镜像源配置不等于安全，HTTPS + 签名验证缺一不可
执行 composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ 看似加速，实则完全绕过 Packagist 官方签名验证——阿里云镜像不提供 signature 字段，composer install 会静默降级为无校验模式，攻击者污染镜像缓存后，你拉下的 zip 包可能已被篡改。
真正安全的镜像用法是「代理元数据，不代理包体」：
- 启用强制签名：
composer config -g security.signature true - 启用 HTTPS 强制：
composer config -g secure-http true（默认已开，但需确认） - 配置可信镜像（仅用于 packages.json 等元数据）：
composer config -g repos.packagist.type composer，再执行composer config -g repos.packagist.url https://mirrors.aliyun.com/composer/ - 验证是否生效：
composer diagnose输出中必须同时出现secure-http: OK和signature verification: OK
别碰 http:// 镜像、别关 secure-http、别用已停更镜像（如 https://packagist.laravel-china.org）——这些操作会让签名机制彻底失效，而问题往往在上线后才暴露。
