vendor目录在生产环境设为只读，因PHP运行时仅需读取代码，写权限会引发安全风险（如Webshell注入）和部署不一致；正确锁定方式是chown归部署用户、chmod 755目录、find -type f设644文件权限、单独chmod +x vendor/bin/*，并确保www-data属deploy组且有组读执行权。
为什么 vendor 目录在生产环境要设为只读
因为运行时 PHP 进程（如 Nginx + PHP-FPM）只需读取 vendor 中的代码，不需要写入；而可写权限会带来两类风险：一是被恶意请求利用（如通过未过滤的缓存路径写入 Webshell），二是 Composer 自动更新或 dump-autoload 等操作意外触发，破坏部署一致性。Laravel、Symfony 等框架默认将 vendor/ 视为不可变资产，storage/ 和 bootstrap/cache/ 才是运行时可写目录。
如何安全地锁定 vendor 目录（Linux/macOS）
锁定不是靠 chmod -R 555 vendor/ 这种粗暴方式——它会让 php artisan config:cache 或自动加载器生成失败，因为某些框架会在 vendor/composer/ 下写临时 JSON 文件（如 installed.json 的运行时快照）。正确做法是分层控制：
- 确保
vendor/目录本身归属当前部署用户（如deploy），且权限为755：chown -R deploy:deploy vendor/ && chmod 755 vendor/ - 递归禁止所有文件的写权限，但保留目录的执行位（否则无法进入子目录）：
find vendor/ -type f -exec chmod 644 {} \; - 仅对明确需要执行权限的二进制文件放行：
chmod +x vendor/bin/* 2>/dev/null || true - 特别保留
vendor/composer/autoload_classmap.php和类似生成文件的可写性（如果应用依赖动态类映射），否则用composer dump-autoload --optimize预生成并设为只读
CI/CD 部署中 vendor 不可写导致的常见报错
在 GitHub Actions、GitLab CI 等环境中，若构建后直接 rsync 或 cp -r 到生产服务器，容易忽略 umask 或挂载点权限继承问题，导致 vendor/ 下部分子目录权限异常。典型现象包括：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
file_put_contents(/var/www/app/vendor/composer/autoload_static.php): Failed to open stream: Permission denied→ 实际是父目录vendor/composer/权限为755但属主非当前 PHP 进程用户 -
Warning: require(/var/www/app/vendor/autoload.php): failed to open stream→ 并非文件丢失，而是vendor/目录权限为555，PHP 进程无执行位，无法opendir() -
Could not scan for classes inside "app/Console" which does not appear in your autoload configuration→composer dump-autoload在 CI 中执行成功，但生成的autoload_static.php被部署脚本以只读方式复制，后续php artisan无法重写
Web 服务器与 CLI 用户权限不一致时的绕过方案
当 CLI 用 deploy 用户构建，而 PHP-FPM 以 www-data 运行时，即使 vendor/ 属主是 deploy，www-data 仍需读权限。不要给 www-data 写权限，而是：
- 将
www-data加入deploy用户组：usermod -a -G deploy www-data - 确保
vendor/目录组权限为r-x（即755），且组属主为deploy：chgrp -R deploy vendor/ && chmod -R g+rx vendor/ - 禁用所有框架的运行时自动加载器重建（如 Laravel 的
APP_DEBUG=false+php artisan config:cache预生成），避免任何写操作触达vendor/
真正难处理的不是 vendor 目录本身是否可写，而是那些隐式依赖写权限的「运行时优化」功能——它们常在日志里不报错，只默默退化成低效模式。上线前务必验证 php artisan tinker 能否正常加载第三方类，而不是只测 HTTP 请求是否返回 200。
