composer 2.2+ 强制启用插件白名单机制，必须在 composer.json 根级声明 allow-plugins 字符串数组（如["symfony/flex"]），大小写敏感、无通配符；配错位置（如塞进config下）、填错包名或遗漏关键插件将导致插件静默失效。
Composer 升级到 2.2+ 后插件“突然不工作”，不是兼容性问题，而是安全策略强制生效——插件必须显式授权才能加载，否则直接被拦截。你看到的 Plugin not allowed、Plugin installation failed 或工具静默失效（比如 PHPStan 找不到扩展），99% 是白名单没配对或配错位置。
allow-plugins 必须写在 composer.json 根级，不是 config 下
很多人把 allow-plugins 塞进 "config": { ... } 里，结果完全不生效。Composer 2.2–2.9.x（包括最新 2.9.6）只认根级字段，和 require、autoload 同层。
- ✅ 正确位置：
"allow-plugins": ["symfony/flex", "phpstan/extension-installer"] - ❌ 错误位置：
"config": { "allow-plugins": { ... } }（这是旧文档残留写法，2.2+ 已弃用） - ⚠️ 混淆点：Composer 8.0+ 又支持
config.allow-plugins对象格式，但仅限于某些发行版分支；主流稳定版（如 2.9.6）仍以根级数组为唯一可靠路径 - 验证方式：运行
composer install -v，搜索输出中是否出现Allowed plugins: symfony/flex, phpstan/extension-installer
插件名必须和 composer show 输出的 name 字段完全一致
填错包名是白名单失效最常见原因。不是类名、不是 require 里的别名、不是 GitHub 仓库名，而是插件包自身 composer.json 里声明的 name 字段值。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- ✅ 正确示例：
phpstan/extension-installer（不是extension-installer，漏 vendor 就失败） - ✅ 正确示例：
dealerdirect/phpcodesniffer-composer-installer（不是phpcodesniffer-composer-installer） - ? 查真实名称：执行
composer show phpstan/extension-installer，看输出第一行name : phpstan/extension-installer - ? 不支持通配符：
"phpstan/*"、"*"、"vendor/*"全部被忽略，Composer 直接跳过匹配
CI/CD 和生产环境必须加 --no-plugins
白名单只控制“哪些插件可以激活”，但它不解决供应链风险——只要插件进了白名单，它就能在构建时执行任意代码。CI 流水线和生产部署必须额外加 --no-plugins 强制跳过所有插件加载。
- ✅ 安全命令组合：
composer install --no-plugins --no-scripts --no-dev --prefer-dist - ⚠️ 注意顺序：
--no-plugins必须出现在命令末尾，否则部分子命令（如composer update）可能忽略它 - ? 场景差异：开发机可开白名单跑
composer install；CI 中即使白名单全对，也必须加--no-plugins，否则某天上游插件更新引入恶意逻辑就晚了 - ? 不要用
allow-plugins: true代替——这等于关掉全部防护，Composer 8+ 会直接拒绝解析该配置
漏配插件的典型症状不是报错，而是功能“装了却没用”
Composer 不会告诉你“你少配了一个插件”，它只会安静地跳过激活。后果是依赖链完整、vendor 目录存在、命令能运行，但关键行为缺失。
- ? Laravel 项目没配
symfony/flex：执行composer install成功，但config/下没生成 recipe 配置文件 - ? PHPStan 项目没配
phpstan/extension-installer：vendor/bin/phpstan能启动，但自定义规则、扩展、类型补全全部不生效 - ? 排查技巧：加
-v参数重跑composer install，搜索Activating plugin或Using plugin关键字；没出现即未加载 - ? 临时验证：删掉
allow-plugins字段再跑一次，应立刻报Plugin installation is disabled—— 这说明白名单机制本身已启用，只是内容不对
白名单不是“配完就完事”的一次性操作。每次新增 dev 依赖（尤其是带 type: composer-plugin 的包），都要去查它的 name 并追加到数组里；团队协作时，这个字段必须随 composer.json 一起提交，不能靠本地 config 或口头约定。
