Composer 不能直接管理 .env 文件，因其仅为依赖管理器而非配置分发工具；.env 是需排除版本控制的运行时敏感文件，须用 PHP 脚本在 post-install-cmd 中安全复制并校验存在性。
Composer 本身不管理 .env 文件，但可以通过脚本自动复制 .env.example 到 .env，前提是项目已引入 vlucas/phpdotenv 并规范存放示例文件。
为什么不能直接用 Composer 管理 .env？
Composer 是依赖管理器，不是配置分发工具。.env 是运行时敏感文件，必须排除在版本控制外。Composer 不会读取、生成或校验它——它只负责把 vlucas/phpdotenv 这类库装进 vendor/，并提供脚本执行入口。
- 直接在
composer.json里写"copy": ".env.example -> .env"会失败：Composer 没有内置 copy 命令 - 试图用
post-install-cmd执行cp或copy命令，跨平台兼容性差（Windows 不认cp） - 如果
.env.example不存在，脚本静默失败，开发者根本不知道缺配置
如何用 post-install-cmd 安全复制 .env.example？
用 PHP 内置函数最可靠，无需 shell 依赖，且能加判断和提示：
Pandas 配置文件报告生成器
下载
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
- 确保
.env.example已提交到 Git，并在.gitignore中明确忽略.env - 在
composer.json的scripts区块添加：
"scripts": {
"post-install-cmd": [
"php -r "if (!file_exists('.env')) { copy('.env.example', '.env') ?: die('Failed to create .env from .env.example\n'); echo "Copied .env.example → .env\n"; } else { echo "Skipped: .env already exists\n"; }""
]
}
- 该命令只在
.env不存在时才复制，避免覆盖已有配置（比如本地已填好数据库密码） - 失败时用
die()终止流程，并输出错误，CI 或本地安装都能立刻感知 - 不要用
file_get_contents() + file_put_contents()—— 对二进制内容（如含 emoji 或 UTF-8 BOM）可能损坏
多环境场景下怎么扩展这个逻辑？
如果项目有 .env.dev、.env.prod 等多个模板，靠一个固定脚本不够用：
- 不推荐在
post-install-cmd里硬编码环境名，因为composer install可能在任意环境运行 - 更合理的方式是：通过环境变量传入目标模板，例如
ENV_TEMPLATE=.env.prod composer install - 对应脚本改为：
"php -r "$t = getenv('ENV_TEMPLATE') ?: '.env.example'; if (!file_exists('.env') && file_exists($t)) { copy($t, '.env') ?: die("Failed to create .env from $t\n"); echo "Copied $t → .env\n"; }""
- 这样开发用默认
.env.example，CI 流水线可指定ENV_TEMPLATE=.env.ci，部署脚本用.env.prod - 注意：该变量需在运行
composer install前由 Shell 设置，不能靠.env自身加载（循环依赖）
容易被忽略的关键点
很多人以为复制完就万事大吉，但实际落地时三个细节常被跳过：
-
.env文件权限：Linux/macOS 下若复制后是 664，而 Web 服务器以不同用户运行，可能导致getenv()读不到——建议脚本末尾追加chmod 600 .env -
vlucas/phpdotenv的加载时机：必须在Dotenv::createImmutable()之前调用复制逻辑，否则.env还没生成就读取失败 - Git 钩子比 Composer 脚本更早：如果团队用 pre-commit 钩子检查
.env是否误提交，那post-install-cmd复制的文件不会触发钩子——得靠人工或 CI 后续扫描
