Composer插件无法统一注入全局基础设施，因其执行时机早于环境变量加载且不干预运行时；唯一可靠方式是使用pre-autoload-dump钩子配合Dotenv::safeLoad()。
Composer 插件机制本身不能“统一注入全局基础设施”——它不提供跨项目共享运行时配置的能力，强行用插件 hook autoload 或 install 流程，反而会破坏环境隔离和可预测性。
为什么 composer-plugin 不能替代环境变量注入
常见错误现象：composer install 成功但 DatabaseConnection 初始化失败，报错 DB_HOST is empty，而 .env 文件明明存在。
根本原因在于：Composer 插件（如 composer/installers 或自定义 plugin）的 activate() 方法执行时机在 autoload.php 生成之后、composer.json 解析完成之时，远早于框架启动或应用逻辑读取 $_ENV。此时 Dotenv::safeLoad() 还没跑，$_ENV 仍是空的。
插件无法控制 PHP 超全局变量写入顺序，也不能干预 vendor/autoload.php 的加载链路——它只是 Composer CLI 工具链的一部分，不是运行时环境的一部分。
- 插件的
EventSubscriber监听的PostAutoloadDumpEvent发生在自动加载器写入磁盘后，此时类已可被加载，但环境变量尚未注入 - 试图在插件中调用
putenv()或修改$_SERVER是危险且不可靠的：值可能被后续流程覆盖，且 CLI 和 Web SAPI 行为不一致 - 插件安装后不会自动生效于所有项目——每个项目仍需手动
require该插件，违背“统一”初衷
真正能统一注入的只有 pre-autoload-dump 钩子
这是唯一被 Composer 官方保证在 vendor/autoload.php 生成前执行的机制，天然满足“所有类加载前，$_ENV 已就绪”的硬性要求。
操作要点：
- 在项目根目录建
scripts/load-env.php，内容必须是Dotenv\Dotenv::createImmutable(__DIR__)->safeLoad(); -
composer.json中的scripts段要写成："pre-autoload-dump": "php scripts/load-env.php"，不能漏掉pre-前缀 - 运行
composer dump-autoload或composer install触发钩子；若此前已生成过autoload.php，需先删掉vendor/autoload.php再重试 -
safeLoad()必须用，不用load()——否则 CI 环境无.env时会直接中断构建
全局基础设施 ≠ 全局 Composer 配置
有人把 composer config --global github-oauth.github.com xxx 当作“统一基础设施”，但它只影响包下载行为，对应用运行时零作用。真正的基础设施（数据库地址、缓存主机、密钥）必须进 $_ENV，而不是进 Composer 配置。
关键区别：
-
github-oauth、cache-dir等全局配置由 Composer 自己读取，不进入 PHP 运行时 -
$_ENV['DB_HOST']是应用代码直接依赖的输入，必须在new DatabaseConnection()执行前可用 - 把基础设施参数塞进
composer.json的config字段是无效的——Composer 不会把它转成$_ENV，也不会暴露给业务代码
最容易被忽略的一点：pre-autoload-dump 钩子只在本地开发和 CI 构建时生效，但容器化部署（如 Docker）中，如果 Dockerfile 里用了 COPY . /app && composer install，钩子会正常触发；可一旦用多阶段构建把 vendor/ 单独 COPY 进最终镜像，就必须确保构建阶段已执行过钩子——否则容器启动时 $_ENV 仍是空的。
