Composer install 默认不写远程仓库，但vcs配置、未锁定分支或CI权限限制可能触发写操作；强制只读需用install+lock文件、package类型dist URL、COMPOSER_DISCARD_CHANGES=1及--no-interaction等参数。
为什么 composer install 会尝试写入仓库？
默认情况下，Composer 并不“写入”远程仓库，但某些配置会让它在本地执行写操作——比如启用 packagist.org 的自动更新、配置了 vcs 类型仓库且本地有 Git 写权限、或使用了 composer update + repositories 中未锁定的开发分支。真正触发“只读失败”的常见场景是：CI 环境禁用了 Git 写权限（如 git config --global --unset credential.helper 后又没设 http.sslVerify=false），或私有仓库配置了需要认证的 SSH URL 却没提供密钥。
如何强制 Composer 完全跳过所有写行为？
核心思路是切断任何可能触发 Git 拉取/更新/检出写操作的路径。关键配置项如下：
- 始终用
composer install（不是update），并确保composer.lock已提交到代码库 - 在
composer.json的repositories中，避免使用vcs类型；改用package类型手动声明包版本和 dist ZIP URL（无 Git 操作） - 设置环境变量
COMPOSER_DISCARD_CHANGES=1，防止 Composer 尝试 stash/commit 本地修改 - 运行时加
--no-interaction --no-plugins --no-scripts，关闭交互式提示、插件钩子和 post-install 脚本（后者可能触发写操作）
repositories 配置中哪些 URL 是安全的只读源？
安全 = 不触发 Git 克隆/拉取，仅走 HTTP 下载 ZIP 包。以下格式可放心使用：
- GitHub/GitLab 的
distZIP 地址："url": "https://api.github.com/repos/vendor/pkg/zipball/1.2.3"（需配"type": "package"） - 私有 S3 或 HTTP 服务托管的 ZIP：
"url": "https://packages.example.com/pkg-1.2.3.zip" - 完全禁用 Packagist：
"packagist.org": false放在repositories顶层，避免意外回退到默认源
⚠️ 注意：git@github.com:vendor/pkg.git、https://github.com/vendor/pkg.git 这类 URL 即使写在 package 类型下，若未显式指定 dist，Composer 仍可能 fallback 到 VCS 模式并尝试 Git 操作。
CI 环境里最简只读运行命令
以 GitHub Actions 为例，最小化风险的命令组合：
composer install --no-interaction --no-plugins --no-scripts --prefer-dist --optimize-autoloader
其中：
-
--prefer-dist强制走 ZIP 下载而非源码克隆 -
--optimize-autoloader不影响只读性，但能减少后续运行时开销 - 务必提前运行
composer config -g github-oauth.github.com "your-token"（如果用 GitHub API 限速保护），否则 ZIP 下载可能因 403 失败
如果项目依赖某个内部 Git 仓库，但又无法改用 package 类型，唯一稳妥方式是预先 git clone --depth 1 --branch v1.2.3 到临时目录，再用 path 类型仓库指向该目录——此时 Composer 只读取，不执行 Git 命令。
