不能用 root 或 www-data 直接跑 composer install，因 root 执行会使 vendor 属主为 root，导致 www-data 无法读取；而 www-data 执行则越权，存在安全风险；应创建专用无登录权限账号（如 composer）并严格隔离缓存与目录权限。
为什么不能用 root 或 www-data 直接跑 composer install
直接用 root 运行会把 vendor/ 下所有文件属主设为 root，后续 Web 服务器（如 Nginx + PHP-FPM）以 www-data 身份读取时可能因权限拒绝报错；反过来用 www-data 执行 composer install 又存在安全风险——它本不该有写入项目根目录、执行任意 PHP 包脚本（如 post-install-cmd）或访问 ~/.composer 的权限。
创建专用系统账号：用 adduser --disabled-password --gecos "" composer
这个账号只负责依赖安装，不登录、无 shell、无密码、不参与任何服务运行。关键点：
-
--disabled-password防止被 SSH 暴力破解，也避免误用su - composer -
--gecos ""跳过交互式信息录入，适合自动化脚本 - 不要加
-s /usr/sbin/nologin（某些旧版 Debian 会因此让sudo -u composer失败），默认 shell 是/bin/sh即可 - 账号 home 目录设为
/var/www/.composer-cache或类似隔离路径，避免和主项目混在一起
给专用账号最小必要权限：只读项目 + 可写 vendor + 缓存目录
假设项目在 /var/www/myapp，执行前需预置权限：
-
chown -R composer:www-data /var/www/myapp（确保 composer 能读全部源码） -
chmod -R g+rX /var/www/myapp（组可读可执行，但不开放写） -
chown -R composer:www-data /var/www/myapp/vendor（允许重写 vendor） -
chmod g+ws /var/www/myapp/vendor（setgid 确保新生成文件继承 www-data 组） mkdir -p /var/www/.composer-cache && chown composer:www-data /var/www/.composer-cache
然后用 sudo -u composer COMPOSER_CACHE_DIR=/var/www/.composer-cache composer install --no-dev --optimize-autoloader 运行。
CI/CD 或部署脚本里怎么安全复用这个账号
常见陷阱是脚本里硬编码 sudo -u composer 却没检查该用户是否存在，或忽略 COMPOSER_HOME 导致缓存写到 root 的 ~/.composer。实操要点：
- 部署前先
id composer &>/dev/null || adduser --disabled-password --gecos "" composer - 始终显式设置
COMPOSER_HOME和COMPOSER_CACHE_DIR，例如：sudo -u composer \ COMPOSER_HOME=/var/www/.composer-home \ COMPOSER_CACHE_DIR=/var/www/.composer-cache \ composer install --no-dev
- 避免在
composer.json里写post-install-cmd调用chmod或chown—— 专用账号没权限改其他目录，强行执行会失败
真正难处理的是某些包自带的 install 脚本（比如 Laravel 的 php artisan storage:link），它们需要额外授权，得单独用 www-data 或部署用户来跑，不能塞进 composer install 流程里。
