Composer全局缓存被多租户共用是错误的，因其设计为用户级隔离，共享会导致数据污染、写锁冲突、autoload映射覆盖及installed.json混写等问题；正确做法是为每个租户设置独立COMPOSER_HOME或挂载专属缓存目录。
composer global cache 被多租户共用就是错的
Composer 的全局缓存目录（~/.composer/cache 或 ~/.config/composer/cache）设计上是**用户级隔离**的，不是多租户共享资源。一旦多个系统用户（如 www-data、deploy、jenkins）共用同一个缓存路径（比如通过 COMPOSER_HOME=/shared/composer 硬绑定），就会立刻触发两类问题：数据污染和写锁冲突。
典型现象包括：composer install 随机失败、Writing cache file 卡死、解压后 vendor/ 中文件损坏、甚至 composer show 返回错误包版本。
- 缓存文件本身无租户标识，A 用户下载的
vendor/package-1.2.3.zip可能被 B 用户当作合法缓存复用，但实际内容已被覆盖或截断 - Composer 内部用
flock()对cache/files/下的 ZIP 文件加写锁，多进程并发时极易出现Resource temporarily unavailable -
cache/repo/中的packages.json元数据是纯文本，多用户同时写入会导致 JSON 格式损坏，后续composer update解析失败
为什么 dump-autoload 会加剧冲突
当多个租户共享 vendor 目录（哪怕只是读取），再各自运行 composer dump-autoload，就会破坏 autoload 映射的一致性。因为该命令直接重写 vendor/autoload.php 和 vendor/composer/autoload_*.php，而这些文件没有租户前缀或命名空间隔离。
结果是：A 租户生成的 autoload_psr4.php 把 App\TenantA\ 映射到 /shared/modules/a/src/，B 租户紧接着覆盖它，映射变成 App\TenantB\ → /shared/modules/b/src/。下一个请求加载 App\TenantA\Foo 就会 Class not found。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 不要在共享 vendor 上执行任何
composer命令，dump-autoload尤其危险 - 若必须动态注册租户模块，用
$loader->addPsr4()在运行时做，不碰vendor/autoload.php - CI 构建阶段应确保每个租户项目有独立
vendor/和composer.lock，禁止rsync vendor/到生产环境
正确隔离方式：按租户分 HOME，而非共享 cache
根本解法不是“优化锁策略”，而是让每个租户拥有独立的 Composer 运行上下文。关键不是禁用缓存，而是把缓存归属权还给使用者。
- 为每个租户服务进程设置专属
COMPOSER_HOME：例如sudo -u tenant-a COMPOSER_HOME=/home/tenant-a/.composer composer install - 若用容器部署，挂载卷时按租户隔离：
-v /data/composer/tenant-a:/root/.composer/cache - 避免使用
--no-cache，它只是跳过缓存读取，仍会尝试写入——而写入目标仍是错的路径 - 检查是否误设了全局
COMPOSER_CACHE_DIR：运行composer config --list | grep cache-dir，确认输出路径属于当前用户
已经污染了怎么办？别只清 cache
composer clear-cache 对已发生的多租户污染无效。它只删文件，不修复属主、不重建元数据一致性、更不回滚被覆盖的 packages.json。
必须执行三步硬重置：
- 停所有租户进程，确认无
composer进程在写缓存：ps aux | grep composer - 删整个缓存目录：
sudo rm -rf $(composer config --global cache-dir)，然后sudo chown -R $USER:$USER ~/.composer（或~/.config/composer） - 对每个租户项目，删
vendor/和composer.lock，再以对应用户身份重装：sudo -u tenant-a composer install
真正容易被忽略的是：缓存污染往往伴随 vendor/composer/installed.json 的跨租户混写——这个文件记录了实际安装的包列表，一旦被覆盖，composer why 和 composer show 就会返回错误依赖链。它不在 cache 目录里，但同样不能共享。
