composer本身不提供设置下载包默认文件权限的配置项，所有权限需通过系统umask、手动chmod/chown或composer.json中php脚本在post-install-cmd阶段修复，且不可在composer.json中声明权限。
Composer 本身不提供设置下载包默认文件权限的配置项，composer.json 或全局 config 中没有任何字段能控制 vendor 下文件的 chmod 值。所谓“设置 install 下载包的默认权限”，实际是部署后手动干预或通过脚本补救——不是 Composer 的能力范围，而是你运行环境的责任。
为什么 composer install 不改变文件权限
Composer 安装过程本质是：下载 ZIP/tar 包 → 解压到 vendor/ → 写入 composer.lock。它不调用 chmod、不修改 umask、也不读取包内任何权限元数据。解压后的文件权限完全取决于：
- 你的系统 umask（通常 Linux/macOS 默认是
0022，即文件 644、目录 755） - ZIP 归档中是否保存了 Unix 权限位（绝大多数 PHP 包 ZIP 不带，所以解压后全是 644/755）
- 你用什么用户执行
composer install（影响 owner/group）
Linux/macOS 下修复 vendor 目录权限的实操方式
如果你发现 vendor/acme/sdk/cache 运行时报 Permission denied，说明该子目录需要可写，但当前只有只读权限。这不是 Composer 能改的，得你动手：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 先确认路径存在：
ls -ld vendor/acme/sdk/cache - 仅开放该目录（非整个 vendor）：
chmod -R 755 vendor/acme/sdk/cache（若需组写则用775） - 更安全的做法是改所有权：
chown -R www-data:www-data vendor/acme/sdk/cache（根据 Web 服务器用户调整，如nginx或apache） - 切勿执行：
chmod -R 777 vendor/—— 这会破坏包的只读语义，CI/CD 扫描工具可能直接标为高危
用 composer.json scripts 自动化修复特定目录
想每次 composer install 后自动 fix 权限？可以加 post-install 脚本，但必须用 PHP 函数，不能直接写 shell 命令（Windows 不兼容）：
"scripts": {
"post-install-cmd": [
"@php -r \"if (file_exists('vendor/acme/sdk') && is_dir('vendor/acme/sdk/cache')) { chmod('vendor/acme/sdk/cache', 0755); }\""
]
}
- 脚本里必须用
file_exists()和is_dir()判断路径是否存在，避免 CI 环境失败 - 别硬编码
0777；0755对目录足够，写操作靠进程 uid/gid 控制 - 这个逻辑只在当前项目生效，不影响其他项目引用该包
Windows 下基本不用管权限，但要注意这几点
NTFS 没有 Unix 风格的 chmod，所以 Windows 下 vendor 权限问题极少。但仍有真实陷阱：
- 如果 vendor 在 OneDrive / Dropbox / WSL2 与 Windows 共享路径下，文件系统桥接可能导致“只读”状态，
composer update卡住或报错 - WAMP/XAMPP 用户：确保命令行和 Apache 使用同一套 PHP + 同一用户上下文，否则
vendor/目录可能被一个进程锁住、另一个进程无权覆盖 - PowerShell/CMD 中执行
composer install前，先确认当前用户对vendor/有完全控制权（右键 → 属性 → 安全 → 编辑）
真正容易被忽略的是：权限问题往往不是出在 vendor 本身，而是某个包运行时试图写入的子目录（如 cache/、storage/、logs/），这些路径由包内代码决定，Composer 完全不感知。定位前先看错误堆栈里的具体路径，再针对性修复，别一上来就扫整个 vendor。
