全局配置仅在repositories镜像、github-protocols等网络开关、auth凭据、全局插件加载等场景生效，不参与依赖解析、autoload或require版本控制，且allow-plugins白名单必须项目级声明才有效。
Composer 全局配置（composer.json 在 ~/.composer/ 或 COMPOSER_HOME 下）和项目级 composer.json 不会“合并”成一个逻辑配置——它们作用域不同、加载时机不同、覆盖规则也不同。全局配置只影响某些命令行为（如插件安装、仓库镜像、auth 配置），**不参与项目依赖解析、不修改 autoload 规则、不改变 require 的包版本范围**。
全局配置实际生效的场景有哪些
全局配置仅在以下明确支持的环节起作用：
-
repositories：比如你设了全局私有 Packagist 镜像，所有项目执行composer install时都会优先查这个源（除非项目显式禁用或覆盖） -
config中的github-protocols、secure-http、fxp-asset等开关项，会影响所有命令的网络行为 -
auth：保存的 GitHub/GitLab token 对所有项目通用，避免每次 push/pull 都输密码 -
plugins：全局启用的插件（如hirak/prestissimo）会在每个项目中加载，但前提是项目未禁用插件（"config": {"disable-plugins": false}）
它**不会**把全局 require 的包装进你的项目 vendor，也不会把全局 autoload 映射注入到项目自动加载器里——那会导致命名空间污染和路径冲突。
项目白名单（allow-plugins）是独立控制项
从 Composer 2.2 开始，默认禁止所有插件执行，必须显式声明允许哪些插件运行。这个白名单只存在于项目级 composer.json 的 config.allow-plugins 字段中，全局配置里的 allow-plugins 完全被忽略。
常见错误写法：
{
"config": {
"allow-plugins": {
"phpstan/extension-installer": true
}
}
}
这段如果放在全局 composer.json 里，对任何项目都无效。必须写在项目自己的 composer.json 里，且需满足：
- 值必须是布尔值（
true/false），不能是数组或字符串 - 键名要精确匹配插件包名（如
phpstan/extension-installer，不是phpstan/phpstan） - 若设为
false，该插件彻底禁用；设为true才允许加载
为什么不能靠全局配置“统一管理插件白名单”
这是 Composer 的安全设计决策：插件能执行任意 PHP 代码，权限等同于项目本身。如果允许全局白名单一键放行，就等于让所有项目无条件信任某个插件——哪怕那个项目根本不需要它，甚至压根没声明依赖它。
所以实际做法是：
- CI 流水线中，在运行
composer install前，用脚本检查项目composer.json是否包含合规的allow-plugins - 团队内部约定模板，把常用插件白名单写进项目初始化脚手架里
- 用
composer-normalize统一格式，但不代替人工审核白名单内容
真正容易被忽略的是：即使你全局配置了 allow-plugins，只要项目没声明，Composer 仍会报错 The plugin X has been disabled... —— 它连读都不读全局的这一项。
