加--no-interaction仍卡住，是因为它仅禁用composer自身交互，无法控制脚本内调用的ask()、私有包认证、tty缺失或插件自定义行为；真正需配合--no-scripts和--no-plugins。
为什么加 --no-interaction 还会卡住？
加了 --no-interaction（或 -n）却仍在 CI 或 Docker 构建中挂起，大概率不是 Composer 本身在问，而是它触发的下游行为没被覆盖：
- 脚本内部调用
$input->ask()（如 Laravel 的php artisan命令）——--no-interaction对子进程无效，得在脚本里透传该参数 - 拉私有包时卡在
Username for 'https://xxx':——这是认证缺失，不是交互问题，需预置auth.json或设COMPOSER_AUTH环境变量 - Docker 构建未分配 TTY（
docker build缺少-t），导致某些底层库误判为“无交互能力”，--no-interaction失效 - 插件（如
hirak/prestissimo）自己做网络探测或进度条，这类行为完全绕过 Composer 的交互控制逻辑
composer install 生产部署必须加的两个参数
仅禁用交互远远不够。生产环境最常踩的坑是脚本偷偷执行任意命令（比如写入 webshell、调用 exec()、生成调试配置），真正安全的组合是：
-
--no-scripts：跳过所有post-install-cmd、pre-autoload-dump等钩子，这是唯一被官方文档明确支持的禁用方式 -
--no-plugins：禁用插件系统，防止像ocramius/package-versions这类通过插件注册的钩子绕过--no-scripts
错误写法：composer install -n --no-dev ——--no-dev 只影响 require-dev 包安装，对脚本和插件零作用。
怎么让 --no-scripts 在所有环节都生效？
--no-scripts 必须显式出现在每一条可能触发脚本的命令中，不能靠一次配置一劳永逸：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
composer install --no-scripts --no-pluginscomposer update --no-scripts --no-pluginscomposer require vendor/package --no-scripts --no-pluginscomposer remove vendor/package --no-scripts --no-plugins
环境变量 COMPOSER_NO_SCRIPTS=1 等价于 --no-scripts，但 CI 脚本中建议直接写参数，避免环境变量污染或继承失效。
删掉 scripts 字段有用吗？
没用。Composer 的脚本执行逻辑与配置解析解耦：scripts 字段只是声明，是否执行由运行时参数决定。更危险的是：
- 删掉字段后，别人提交带脚本的
composer.lock，或你本地运行composer update，脚本就自动回来了 - 写成
"scripts": {}或"scripts": []，Composer 会忽略，但不会关闭执行开关；部分版本甚至因此报错或静默失败 - 真正可控的只有命令行参数或
COMPOSER_NO_SCRIPTS=1，其他都是幻觉
如果你真想从源头压制，唯一可靠做法是在 composer.json 中把每个钩子设为空数组："post-install-cmd": []，但这只是“没东西可跑”，不是“禁止运行”——仍需配合 --no-scripts 才算闭环。
