无法单独禁用 post-install-cmd，唯一可靠方式是临时修改 composer.json 删除或注释该脚本项；--no-scripts 为全局开关，无按名称过滤参数，官方不支持环境变量或配置项控制单个脚本。
composer install 时只想跳过 post-install-cmd 怎么办
Composer 没有 --skip-script=post-install-cmd 这种参数，--no-scripts 是全局开关，不能按名称过滤。想只禁用某一个脚本，唯一可靠的方式是临时修改 composer.json 中的 scripts 字段。
常见做法包括：
- 手动注释或删除
"post-install-cmd"对应的行，执行composer install后再恢复 - 在 CI 脚本中用
jq做原子化 patch：jq 'del(.scripts."post-install-cmd")' composer.json > composer.json.tmp && mv composer.json.tmp composer.json - 避免用
sed -i直接替换——JSON 格式敏感，容易破坏结构导致解析失败
为什么不能靠环境变量或配置项禁用单个脚本
COMPOSER_NO_SCRIPTS=1 不被 Composer 识别，官方不支持环境变量控制脚本执行；config 段也没有对应开关。所有脚本控制都必须通过命令行参数或直接修改 composer.json 实现。
原因很实在：Composer 的脚本机制设计为“声明即执行”，生命周期钩子（如 pre-autoload-dump、post-update-cmd）在事件触发时统一调度，没有运行时路由层做细粒度拦截。
所以所谓“限制权限”，本质是绕过调度——要么不让它注册（删 scripts），要么不让它触发（加 --no-scripts）。
误用 --no-scripts 导致 Class not found 怎么排查
这不是 autoload 没生成，而是某些包依赖脚本输出文件。典型情况：
- Laravel 的
php artisan vendor:publish在post-install-cmd里自动发布配置，跳过后config/下缺文件 - Symfony Flex 插件靠
post-install-cmd注入 recipes，禁用后 bundle 不注册 - 某些 SDK 用脚本生成客户端类（如 OpenAPI 代码生成器），跳过后
src/Generated/为空
验证方法很简单：先不加 --no-scripts 跑一次 composer install，再对比 git status 看哪些文件是脚本创建的——那些就是你跳过之后要手动补的。
生产环境部署时该不该加 --no-scripts
该加，但必须确认两点：
- 你不需要任何脚本产生的副作用（比如前端构建产物、缓存预热、密钥生成）
- 你已把必要初始化动作拆出来，作为独立步骤跑在
composer install之后（例如php artisan key:generate单独执行）
最危险的组合是 --no-scripts --no-autoloader：前者跳脚本，后者不生成 vendor/autoload.php，结果连 require 都失败。而 --no-plugins 和 --no-scripts 可以安全共存——它们管的是不同执行层：插件在依赖解析阶段介入，脚本在安装完成阶段触发。
