新服务器上插件不工作主因是白名单未被实际读取或执行：需确保运行composer install（不含--no-plugins）、composer.json格式正确且无全局配置覆盖，同时composer.lock包含对应插件条目。
迁移服务器后，composer.json 里的 allow-plugins 白名单不会自动生效——它只在本地 composer install 或 update 时被读取，而新服务器上若没运行过这些命令，或用了 --no-plugins、CI 脚本硬编码跳过插件，白名单就形同虚设。
为什么新服务器上插件突然不工作了
常见现象是：本地开发一切正常，部署到新服务器后 symfony/flex 不注册、phpstan/extension-installer 不加载、甚至 composer install 报 “Plugin not allowed” 错误。这不是网络或权限问题，而是 Composer 在新环境里压根没看到你的白名单配置。
- 你复制了
composer.json，但没复制composer.lock，导致install退化为update行为，而某些插件（如 Flex）只在首次安装时触发注册逻辑 - CI/CD 脚本或部署脚本里写了
composer install --no-plugins，这个 flag 会彻底绕过allow-plugins配置，无论白名单写得多全都没用 - 新服务器用的是全局 Composer 配置（
composer config -g），覆盖了项目级的config.allow-plugins -
composer.json文件末尾多了逗号、字段名拼错（比如写成allow_plugin）、或用了注释（JSON 不支持），导致整个config段被忽略
复刻白名单必须重跑 install，不能只 copy vendor
白名单不是“开关”，它是 Composer 加载插件前的校验规则；只有在解析 composer.json 并构建插件注册表时才起作用。所以仅把旧服务器的 vendor/ 目录拷过去，插件状态不会继承。
- 必须在新服务器上执行
composer install（不含--no-plugins），且确保当前目录下有完整、格式正确的composer.json - 如果已有
composer.lock，先确认它包含插件依赖项（如"symfony/flex": "^2.4"出现在packages列表里）；否则install不会尝试加载对应插件 - 运行
composer install --dry-run可提前验证：若输出里出现Would install symfony/flex (v2.4.0)且无拦截提示，说明白名单已识别；若仍报Plugin symfony/flex is not allowed，就是配置未生效
检查白名单是否真被读取的三步法
别猜，直接看 Composer 自己怎么解析的。以下命令在新服务器项目根目录下运行：
- 运行
composer config allow-plugins—— 它应输出一个 JSON 对象，比如{"symfony/flex":true,"phpstan/extension-installer":true}；如果输出null，说明配置根本没加载（可能字段位置错、JSON 格式坏、或被全局配置覆盖） - 运行
composer show symfony/flex—— 若返回 “No package found”，说明该包没出现在 lock 文件或 require 里，白名单再全也无意义 - 运行
composer diagnose—— 它会明确提示require-dev是否启用、allow-plugins是否被禁用、以及是否存在冲突的全局设置
最容易被忽略的是：白名单只控制“允许注册”，不保证“实际执行”。比如 symfony/flex 注册成功后，还需 extra.symfony.allow-contrib 才能启用某些 contrib 功能；而 post-install-cmd 脚本即使插件被禁，只要没加 --no-scripts，照样会跑——这两类行为常混作一谈，结果误以为白名单失效。
