Composer依赖包预安装触发环境污染问题排查-composer-PHP中文网

能，而且这是第一步必须做的验证动作；加--no-scripts后若$_env或getenv()不再被篡改，即可确认污染源在scripts钩子里，而非composer自身或autoload机制，但需注意autoload-dev类仍可能提前污染环境。

composer依赖包预安装触发环境污染问题排查

composer install --no-scripts 能否隔离环境变量污染？

能，而且这是第一步必须做的验证动作。如果加了 --no-scripts 后 $_ENV 或 getenv() 不再被篡改，基本可断定污染源在脚本里，而非 Composer 自身或 autoload 机制。

注意两点：
- --no-scripts 不影响依赖解析和文件下载，只跳过 scripts 字段定义的所有钩子（post-install-cmd、pre-autoload-dump 等）
- 它不屏蔽 autoload-dev 类的自动加载——那些类可能在 composer dump-autoload 时就被执行，早于脚本运行

执行前先记录 baseline：php -r "var_dump(getenv('HTTP_PROXY'), getenv('APP_ENV'));"
再跑：COMPOSER_NO_INTERACTION=1 composer install --no-scripts
对比两次输出，确认是否干净

如何快速定位是哪个包的 script 在调用 putenv()？

别靠猜，用 composer run-script --list 列出所有注册脚本后，逐个手动触发并观测环境变化。重点盯 pre- 和 post- 开头的钩子，尤其是 post-install-cmd 和 post-autoload-dump。

实操建议：

先禁用插件和脚本：composer install --no-plugins --no-scripts，得到干净 baseline
然后挨个执行：composer run-script post-install-cmd，每跑一次就 php -r "echo getenv('YOUR_VAR'), "\n";" 检查
同时翻 vendor/ 下每个包的 composer.json，搜索 "scripts" 字段——很多第三方包（比如旧版 hirak/prestissimo 或某些 Laravel DevTools）会在里面直接写 php -r "putenv(...)";

autoload-dev 类为什么比脚本更难排查？

因为它们不显式出现在 composer.json 的 scripts 里，却在 composer dump-autoload 或 install 过程中被提前加载。一旦某个 dev 包的自动加载类里写了 putenv() 或给 $_ENV 赋值，污染就发生在脚本执行之前。

典型场景：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

测试工具包（如 phpunit/phpunit 的某扩展）在 autoload-dev 中注册了一个初始化类
该类构造函数里执行了 $_ENV['APP_DEBUG'] = 'true'，且未做环境判断
composer install 会先生成 autoloader，再执行脚本，所以这类污染无法被 --no-scripts 拦住

验证方式：删掉 vendor/，运行 composer dump-autoload --no-scripts，然后立刻 php -r "require 'vendor/autoload.php'; var_dump(getenv('APP_DEBUG'));" —— 如果已变，说明污染来自 autoload 阶段。