不能设 "allow-plugins": true，因为这会关闭 Composer 插件安全闸门，使所有依赖（含间接依赖）可静默执行代码，危及 autoload、下载流程与文件系统；必须显式白名单授权可信包。
直接解除 allow-plugins 限制是危险操作，它不是“开关”，而是白名单机制；默认拒绝所有插件是安全基线，必须显式授权具体包名，不能设为 true 或通配符。
为什么不能设 "allow-plugins": true
这等于关闭 Composer 的插件执行闸门。插件在安装/更新阶段拥有完整代码执行权：能修改 autoload、劫持下载流程、写入任意路径、调用 exec()。设为 true 后，任何依赖（包括间接依赖）都能静默加载并运行代码，已知攻击链会通过恶意 fork 的小众包触发。
-
"allow-plugins": {"*": false}是最小化起点，但不解决实际需求 - 通配符如
"vendor/*"或"*/*"不被识别，会被忽略 - JSON 中多加空格或注释会导致解析失败，白名单必须严格格式化
如何安全添加一个插件到 allow-plugins
不是看到报错就加，得先验证必要性与可信度：
- 查 Packagist 页面：是否有 Verified 标识、LICENSE 明确（MIT/Apache-2.0）、GitHub stars ≥ 500 且近 6 个月有活跃提交
- 运行
composer show vendor/name，确认输出含Plugin字样，并翻其源码看是否调用exec()、eval()或写入/tmp、vendor/等敏感路径 - 在
composer.json的config.allow-plugins下只写一行："symfony/flex": true（不要引号外空格，不要逗号结尾） - 加完立刻跑
composer install --dry-run验证是否仍被拦截；若还报错，说明该插件依赖另一个未授权插件（如某些 scaffold 工具链带二级插件）
--no-plugins 必须用于生产环境
这是硬性安全边界，不是可选项。它强制跳过所有插件加载（全局 + 项目级），切断构建期的任意代码执行链：
- 正确写法：
composer install --no-plugins✅；composer --no-plugins install❌（等价于composer --help） - CI/CD 脚本里不能靠“开发者记得加”，必须写死；哪怕用了 wrapper 脚本（如
bin/composer），也要确保它没偷偷加 flag - 推荐组合：
composer install --no-plugins --no-scripts --no-dev --prefer-dist；它不影响vendor/autoload.php生成和依赖解压，只阻断执行
最容易被忽略的细节
插件白名单只控制“是否允许注册”，不控制“是否实际启用”。有些包注册插件后还需额外配置（如 symfony/flex 需要 extra.symfony.allow-contrib）；而 post-install-cmd 里的脚本即使禁了插件仍会执行——这两类行为常被混为一谈，导致误判权限配置是否生效。
