vendor目录不能chmod 777，因其混有PHP类文件、autoload.php及vendor/bin下可执行脚本（如phpunit），设为777会使全局可写，极易被攻击者利用代码执行漏洞覆盖关键文件或注入恶意类；CI平台与安全扫描工具会直接拒绝构建或标记高危；Git提交时亦报ownership changed干扰diff；且不解决根本问题——属主仍为root，下次composer update仍失败。
vendor目录为什么不能chmod 777
因为vendor/里混着PHP类文件、autoload.php、vendor/bin/下的可执行脚本（比如phpunit），设成777等于把写权限交给所有人。一旦应用存在任意代码执行漏洞，攻击者就能直接覆盖vendor/composer/autoload_static.php或注入恶意类——这不是假设，真实入侵链里常见。
更实际的问题是：CI平台、安全扫描工具（如SonarQube、GitLab SAST）看到chmod -R 777 vendor/会直接拒绝构建或标记高危；Git提交时还会报ownership changed干扰diff。
-
chmod 777不解决根本问题：属主仍是root，下次composer update照样失败 - 某些包的
post-install-cmd脚本会创建符号链接或临时目录，777会放大其风险 - Web服务器（如nginx+php-fpm）不需要写
vendor/，只读就够了
修复已污染的vendor目录：chown比chmod管用十倍
看到file_put_contents(/path/to/vendor/autoload.php): Permission denied，第一反应不是改权限数字，而是查归属：ls -ld vendor/。如果输出第三列是root或www-data，就坐实了——是所有权错位。
别递归chown -R整个vendor/（可能破坏Phar包或符号链接），稳妥做法分两步：
- 删掉污染源：
rm -rf vendor/ composer.lock - 用当前用户重装：
composer install（确保whoami和ls -ld .显示的属主一致）
如果composer.lock不能删（如CI部署），至少先修正目录本身：sudo chown $USER:$USER vendor/ && chmod u+w vendor/。
Docker和CI中vendor权限错乱的隐蔽源头
容器或CI里vendor/属主为root，往往不是命令写错了，而是UID不匹配或缓存继承导致：
- Docker构建时用
USER root跑composer install→ 最终镜像里vendor/属主是root，但运行时PHP进程（如www-data）无权读取 - GitHub Actions用了
cache: composer，解压缓存后文件继承了上一次构建的root属主 -
sudo -u www-data composer install没重设$HOME→ 它仍从/root/.composer/cache加载，缓存属主错位
修复方案要切断污染链：
- Dockerfile里优先
USER切换：RUN useradd -m -u 1001 appuser && chown -R appuser:appuser /app && USER appuser - CI脚本加修复步骤：
chown -R $GITHUB_ACTOR:$GITHUB_ACTOR vendor/ composer.lock - 多阶段构建中，build阶段用
--no-scripts，final阶段COPY --chown=www-data:www-data vendor/
安装后必须做的权限加固操作
哪怕umask 0022设对了，某些包的post-install-cmd（如Laravel的storage:link）仍可能创建可写目录或symlink。所以composer install完成后，立刻执行：
- 禁止写入PHP文件：
find vendor/ -type f -name "*.php" -exec chmod 644 {} \; - 仅目录可执行：
find vendor/ -type d -exec chmod 755 {} \; - 单独处理
vendor/bin/：chmod 755 vendor/bin/*（脚本需可执行，但不可写） - 检查关键文件：
ls -l vendor/composer/installed.json，确认权限是-rw-r--r--（644），不是666
真正容易被忽略的是~/.composer全局目录——它一旦被root写过，所有composer global require都会静默失败。每次遇到奇怪的command not found，先查ls -ld $(composer config -g bin-dir)和$(composer config --global cache-dir)。
