使用 --no-scripts 可跳过 composer.json 中的脚本执行，适用于生产部署、调试依赖、CI/CD 分阶段控制及不信任第三方脚本时；但需注意可能影响应用初始化，如 Laravel 密钥生成等，建议结合 --no-dev 和 --optimize-autoloader 用于生产环境，在安全与功能间取得平衡。

在使用 Composer 安装或更新 PHP 依赖时，有时需要控制某些自动行为，尤其是脚本的执行。Composer 提供了 --no-scripts 参数来跳过 composer.json 中定义的脚本，这在特定场景下非常有用，但也需要注意安全和功能影响。

什么情况下使用 --no-scripts

Composer 允许在 composer.json 中定义各种钩子脚本，比如 post-install-cmd、pre-update 等。这些脚本通常用于自动执行任务，如清缓存、生成配置、运行数据库迁移等。但在以下情况中，建议使用 --no-scripts：

• 部署到生产环境时，避免意外触发开发用脚本
• 调试依赖安装问题，排除脚本干扰
• CI/CD 流水线中分阶段执行脚本，确保流程可控
• 第三方包的脚本存在潜在风险或不信任代码

例如：composer install --no-scripts 可以只安装依赖，不执行任何自定义命令。

安全提示与注意事项

虽然跳过脚本能提升安全性与稳定性，但也会带来副作用：

Feishu calendar sync, local ics to json data for AI agent

将ICS日历文件转为JSON格式，用于飞书日历导入导出及数据集成。

下载

• 某些项目依赖脚本完成初始化，跳过后可能导致应用无法运行
• 框架（如 Laravel）常通过 post-install 脚本生成密钥或权限设置，忽略后需手动补全
• 团队协作中应明确是否启用脚本，避免环境不一致

建议在可信环境中允许必要脚本运行，在不可信或自动化流程中谨慎评估每个脚本内容后再决定是否跳过。

与其他参数配合使用

为了更精细地控制安装过程，可将 --no-scripts 与其他参数结合：

• --no-dev：跳过开发依赖，常与 --no-scripts 一起用于生产部署
• --optimize-autoloader：优化自动加载，不影响脚本开关
• --dry-run：模拟执行，预览将运行的脚本而不真正执行

典型命令示例：composer install --no-dev --no-scripts --optimize-autoloader

基本上就这些。合理使用 --no-scripts 能让你更好地掌控 Composer 行为，关键是在安全与功能性之间找到平衡。