报错含“plugins have been disabled”可确认是白名单问题：运行composer config --list | grep allow-plugins，若输出为空、[]或{"*": false}，或目标包未在白名单中明确声明为true，即为配置拦截所致。
报错含“plugins have been disabled”怎么确认是白名单问题
只要日志里出现 plugins have been disabled 或 The package "xxx" has a plugin which is not allowed，基本可以锁定是 allow-plugins 配置导致的拦截——不是插件本身坏，而是 Composer 主动拒绝加载。它和网络、权限、PHP 版本无关，纯属配置策略生效。
关键验证动作：运行 composer config --list | grep allow-plugins，看输出是否含 config.allow-plugins 行；若为空，说明项目或全局没设该配置，默认全部拒绝（Composer 2.2+ 默认行为）。
- 如果输出是
config.allow-plugins []或config.allow-plugins {"*": false}，就是明确拒绝所有插件 - 如果输出是
config.allow-plugins {"symfony/flex": true}，但报错对象是laravel/pint，说明该包不在白名单里 - 注意：全局配置（
~/.composer/config.json）和项目级（composer.json的config.allow-plugins）会合并，后者优先级更高
为什么加了白名单还报错
常见原因不是写法错，而是没写对位置或格式失效：
-
allow-plugins必须放在composer.json的config对象下，不能放在根级或extra里 - 值必须是布尔字面量：
"symfony/flex": true✅，"symfony/flex": "true"❌（字符串会被当 false） - 包名必须和 Packagist 上完全一致，包括大小写和 vendor 名，比如
phpstan/phpstan≠phpstan/PHPStan - JSON 文件不能有注释、尾随逗号、BOM 头、单引号——用
composer validate检查语法是否合法
插件依赖链被忽略怎么办
有些插件（如 laravel/sail）内部依赖另一个插件（如 laravel/vapor-core），你只白名单了前者，后者仍被拦。报错时不会直接说“二级插件未授权”，而是笼统提示主包插件被禁。
排查方法：
- 先跑
composer show vendor/name | grep -i plugin，确认该包确实注册了插件 - 再执行
composer install --dry-run -v，看 verbose 输出里有没有尝试加载其他包的插件 - 手动查它的
composer.json（vendor/vendor/name/composer.json），翻require和extra.plugin字段，找潜在依赖的插件包 - 把链路上所有插件包都加进白名单，一行一个，不要用通配符
CI/CD 环境里白名单突然失效
本地好使，CI 流水线报插件被禁，大概率是构建镜像或 runner 用了不同版本 Composer，或配置被覆盖：
- 检查 CI 脚本是否用了
--no-plugins参数——它会无视所有白名单，强制关闭 - 确认 CI 中运行的是项目级
composer.json，而不是全局配置；某些流水线会cp ~/.composer/config.json .覆盖项目配置 - Docker 构建时，如果
composer install在COPY . .之前执行，composer.json还没进来，白名单自然不生效 - GitHub Actions 等平台默认缓存
~/.composer，旧的全局allow-plugins可能残留，建议加composer clear-cache步骤
最稳做法：CI 脚本里显式传参，比如 composer install --no-scripts --no-dev --no-plugins，彻底绕过插件逻辑，别依赖白名单配置生效。
