根本原因是Docker默认以root运行，导致vendor/、composer.lock等属主为root，非特权用户（如www-data）无权读写；应先root执行composer install，再chown -R www-data:www-data修复权限，并确保缓存目录可写。
为什么容器里 composer install 会报 permission denied
根本原因是 Docker 默认以 root 用户运行，但你执行 composer install 后生成的 vendor/、composer.lock 和缓存目录（如 /tmp/composer）都属于 root。当后续切换到非特权用户（比如 www-data）启动 PHP-FPM 或 CLI 时，它没有权限读写这些文件——尤其是 vendor/autoload.php 的写入或 composer dump-autoload 的执行会直接失败。
-
composer install必须在切换用户前完成，且全程用root执行（这是安全且必要的） - 安装完后要显式修正
vendor/和composer.lock的属主：例如chown -R www-data:www-data vendor/ composer.lock - 别忽略 Composer 缓存目录，默认在
/tmp下，PHP 进程若以www-data运行，需确保它对/tmp/composer（或自定义的COMPOSER_CACHE_DIR）有读写权 - 如果用了
--no-scripts，记得确认项目是否依赖 post-install-cmd 脚本（如生成配置、清理缓存），否则可能漏关键初始化步骤
如何让 composer install 在 USER 指令之后仍有效
不能。Dockerfile 中的 USER 指令一旦生效，后续所有 RUN 指令都会以该用户身份执行——而 composer install 需要写入 vendor/、下载包、解压 tarball，这些操作在非 root 用户下大概率失败（尤其涉及 /tmp、网络、权限提升等）。所以标准做法是：先用 root 安装依赖，再切用户，最后修复权限。
- 顺序必须是：
RUN composer install --no-dev --optimize-autoloader→RUN chown -R www-data:www-data vendor/ composer.lock→USER www-data - 不要在
USER www-data之后加RUN composer dump-autoload—— 这会因权限不足静默失败或报错 - 如果构建阶段需要生成 autoload 文件（比如用了自定义 PSR-4 映射），应在
root阶段做完，并确保vendor/autoload.php对www-data可读 - 某些镜像（如
php:alpine）默认不带www-data用户，得先RUN addgroup -g 1001 -f www-data && adduser -S www-data -u 1001
vendor 目录权限设成 755 还是 775？
755 是更稳妥的选择。虽然 775 看似“多给组写权限”，但在容器中通常只有一个运行用户（www-data），且 vendor/ 不应被运行时修改。755 表示 owner 可读写、group/other 只读，既满足 PHP 进程加载类的需求，又防止意外写入（比如被恶意脚本覆盖 autoload_static.php）。
-
vendor/下所有子目录和文件应统一为www-data:www-data+755/644权限 - 特别注意
vendor/bin/下的可执行脚本（如phpunit），它们需要755；但生产镜像中应删掉整个vendor/bin/（除非明确需要 CLI 工具） - 避免用
chmod -R 777 vendor/—— 这等于放弃权限控制，CI/CD 扫描工具会直接告警 - 如果用了
--optimize-autoloader，生成的vendor/composer/autoload_static.php是只读逻辑，755 完全够用
为什么 dump-autoload 在容器里总失效
不是命令没跑，而是你没重启 PHP 进程。Composer 的 dump-autoload 只生成 PHP 文件，不刷新已加载的 ClassLoader 实例。在 PHP-FPM 容器中，worker 进程常驻内存，即使你重新生成了 autoload_static.php，老进程仍用旧的映射表，导致新类 Class not found。
- 真正生效的前提是：PHP 进程重载（
kill -USR2或重启 php-fpm service）或容器重建 - 开发时建议用
docker-compose restart app，而不是只exec进去跑composer dump-autoload - 如果你在运行中的容器里手动改了
composer.json并想立刻生效，必须：① 切回root用户（docker exec -u 0）；② 重新chown；③ 重启 PHP-FPM - 线上环境严禁在运行容器内执行
composer命令——所有变更应走镜像重建流程
最易被忽略的一点：权限修复必须覆盖 vendor/ 内所有内容，包括隐藏文件（如 .htaccess、.gitignore），否则某些 Web 服务器（Apache）会因无法读取这些文件而拒绝服务。别只 chown -R 却忘了 find vendor/ -type f -exec chmod 644 {} \; 这类收尾动作。
