答案是SELinux可能拦截Composer操作，需用sestatus和ausearch确认AVC拒绝记录，再通过semanage打标、restorecon刷新上下文，并启用httpd_can_network_connect等布尔值。
确认 SELinux 是否真在拦路
报错里出现 Permission denied、failed to open stream 或 file_put_contents 失败，不等于就是文件权限问题——先验证是不是 SELinux 在作祟。运行：sestatus 看输出是否为 enforcing；再跑：ausearch -m avc -ts recent | grep composer，如果有输出，说明确有 AVC 拒绝记录。
重点看日志里的 avc: denied 行：
- comm="php" 或 comm="composer" 表明是 PHP 进程触发
- scontext=system_u:system_r:httpd_t:s0（Apache）或 php-fpm_t（FPM）是源上下文
- tcontext=system_u:object_r:user_home_t:s0 或 var_t 是目标上下文
- tclass=file + perm=write 说明被拒操作是写入
修复目录 SELinux 上下文类型
Composer 写不进 vendor/、composer.lock 或 ~/.composer/cache，往往因为路径打了错误的上下文标签。家目录默认是 user_home_t，Web 进程不允许访问；/var/www 下默认是 var_t，也不允许写。
按实际路径执行打标和刷新：
- 项目在
/var/www/html/myapp：sudo semanage fcontext -a -t httpd_sys_rw_content_t "/var/www/html/myapp/(vendor|composer\.lock|cache)"sudo restorecon -Rv /var/www/html/myapp - 缓存放在家目录（不推荐但常见）：
sudo semanage fcontext -a -t httpd_sys_rw_content_t "$HOME/.composer(/.*)?"sudo restorecon -Rv $HOME/.composer - 绝对不要把 Web 项目放
/home/xxx下跑 Apache/Nginx——这是最典型的配置错误，改路径比调策略更可靠
检查并启用必要布尔值
SELinux 布尔值是开关，不是全开全关。Composer 安装依赖要联网、解压、调外部命令（如 git），这些都可能被拦截。
必须开启的布尔值：
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
-
httpd_can_network_connect：允许 PHP 发起 HTTP 请求（拉包必需）sudo setsebool -P httpd_can_network_connect 1 -
httpd_can_network_connect_db：如果用到 Packagist 的 HTTPS 接口（几乎总是需要）sudo setsebool -P httpd_can_network_connect_db 1 - 慎用
httpd_can_execmem：仅当 Composer 报错涉及mmap或execve时才考虑，它会降低内存保护强度
查当前状态：getsebool -a | grep httpd | grep -E "(network|exec)"
别跳过 CLI 和 Web 的上下文差异
你在终端手动跑 composer install 和 Web 页面触发 composer update（比如通过 admin UI），走的是完全不同的 SELinux 域：unconfined_t vs httpd_t。前者可能成功，后者失败，不代表问题已解决。
排查时务必分清场景：
- 终端命令失败 → 查
php进程的上下文（ps -eZ | grep php），通常是unconfined_t，这时问题大概率出在传统权限或disable_functions - Web 页面调用失败 → 查 Apache/Nginx worker 进程上下文（
ps -eZ | grep httpd或nginx），才是httpd_t，这时才真正需要 SELinux 调整 -
php --ini和phpinfo()显示的php.ini路径不同，也意味着 CLI 和 Web 加载的扩展、禁用函数可能不同——SELinux 策略只管进程域，不管 ini 配置
真实环境里，httpd_t 对 /tmp 的写入限制、对 ~/.composer 的读取禁止、对 vendor/bin/xxx 的执行拦截，都是静默发生的——得靠 ausearch 才能看见。没日志就别瞎改策略。
