95%的vendor权限问题是属主错位而非chmod数字小；应优先执行sudo chown -R $USER:$USER vendor/修复归属，禁用chmod -R 777以防脚本被篡改或CI拒绝构建。
vendor目录的权限问题，95%不是chmod数字太小，而是属主错位；安全隔离也不是靠配置开关，而是靠路径控制、加载时机和运行用户三者配合。
为什么chmod -R 777 vendor/是危险操作
它让vendor/bin/下的可执行脚本（如phpunit、doctrine）变成全局可写，CI系统可能直接拒绝构建，安全扫描工具会标为高危。更严重的是，攻击者一旦获得代码执行权限，就能直接篡改vendor/autoload.php或注入恶意类——这不是假设，已有真实入侵案例。
-
composer install本身不设权限，新建文件权限由当前umask决定（比如umask 0002→ 文件默认664） - 若用
root执行过安装，整个vendor/下文件属主都是root，普通用户后续无法覆盖 - 修复优先级：先
chown -R $USER:$USER vendor/，再考虑是否需要chmod
composer install前必须检查的三个归属点
权限失败往往不是单点问题，而是项目目录、缓存路径、全局配置三处归属同时出错。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 项目根目录：
ls -ld .，若非当前用户所有，执行sudo chown -R $USER:$USER ./ - 全局缓存目录：
composer config --global cache-dir，然后ls -ld $(composer config --global cache-dir)，错位就sudo chown -R $USER:$USER ~/.composer/cache - 全局配置目录：
ls -ld ~/.composer，若为root:root，立刻执行sudo chown -R $USER:$USER ~/.composer && chmod 700 ~/.composer && chmod 600 ~/.composer/auth.json
生产环境vendor/不能被Web服务器访问的硬性做法
仅靠.htaccess或location ~* /vendor/不够可靠，因为规则可能被覆盖或遗漏。最彻底的方式是让vendor/根本不在Web可访问路径中。
- 把Web服务器
document_root指向public/或web/子目录，而非项目根目录 - 确认
public/index.php里require __DIR__.'/../vendor/autoload.php';路径正确且可读 - 禁用PHP危险函数：
exec、system、shell_exec等，即使路径被绕过也无法执行命令 - 不要在
.gitignore里漏掉/vendor/，否则误提交会导致团队行为不一致
allow-plugins设为true等于放弃插件安全防线
Composer 2.2+ 默认禁用所有插件。"allow-plugins": true会绕过白名单机制，使任意传递依赖（包括被污染的fork包）都能自动执行代码，供应链攻击风险极高。
- 只允许明确需要的插件，例如
"symfony/flex": true，禁止使用通配符 - CI脚本中必须显式加
--no-plugins，且要放在命令末尾：composer install --no-plugins - 如果项目不需要任何插件，直接删掉
composer.json里的allow-plugins字段，比设false更稳妥
真正容易被忽略的点是：权限修复后不清理composer.lock和缓存，旧锁文件可能保留错误的哈希或路径快照，导致下次install仍失败；另外，Docker构建时若复用宿主机~/.composer/cache，UID/GID错位会让缓存包解压失败，得用RUN umask 0022 && composer install确保每层干净独立。
