答案是归属权错配而非权限不足，需用ls -ld定位vendor/、composer.lock或~/.composer目录属主，若为root则执行sudo chown -R $USER:$USER修复，禁用chmod -R 777。
报错里带“Permission denied”先别改chmod
这几乎全是归属权（ownership）问题，不是权限（permission）不够。常见于用sudo composer install后，vendor/、composer.lock或~/.composer目录被设为root所有，而你后续以普通用户运行命令。
实操建议：
- 运行
ls -ld vendor/ composer.lock $(composer config --global home)，看Owner是不是你当前用户 - 如果是
root，执行sudo chown -R $USER:$USER vendor/ composer.lock ~/.composer（Linux/macOS）或在Windows中右键→属性→安全→编辑当前用户权限 - 别盲目
chmod 777——这会破坏Composer的校验逻辑，甚至引发后续签名验证失败
“Loading composer repositories”卡住，实际根本没走镜像
镜像配置写对了≠生效了。Composer 2.x 对配置格式极其敏感，漏一个字符就静默 fallback 到https://packagist.org，且不报错。
实操建议：
- 运行
composer config -g repo.packagist，输出必须是完整 JSON：{"type": "composer", "url": "https://mirrors.aliyun.com/composer/"}；空、null或仍是官方地址，说明没配成功 - 确认三要素同时满足：键名是
repo.packagist（单数，不能repos）、type显式传composer、URL 末尾有/ - 项目根目录
composer.json里只要存在"repositories"字段（哪怕空数组[]），全局配置就彻底失效——此时应进项目目录，运行composer config repo.packagist composer https://mirrors.aliyun.com/composer/（不加-g）
报“Could not fetch packages.json”时curl比composer更可信
这类错误90%和Composer本身无关，而是系统级网络链路中断。Composer只报一句“fetch failed”，但curl能暴露真实卡点。
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
实操建议：
- 先跑
curl -I https://mirrors.aliyun.com/composer/packages.json：返回HTTP/2 200才说明镜像通；若卡在* TLS handshake，是证书或代理问题；若返回HTML页面，说明镜像返回了人机验证，不适合CI - 检查PHP的
openssl.cafile和curl.cainfo是否指向过期CA包（比如停更于2021年的curl-ca-bundle.crt）；应下载最新cacert.pem并统一设置两处路径 - 企业环境若装了Zscaler/Netskope类HTTPS解密代理，Composer默认校验证书链会失败；临时调试可用
COMPOSER_DISABLE_TLS=1，但生产环境必须配信任证书
Windows下“Access is denied”大概率不是权限问题
这是.bat文件生成阶段被Windows Defender或第三方杀软拦截的典型表现，尤其出现在vendor/bin/phpunit.bat等脚本创建时。
实操建议：
- 临时关闭Windows Defender实时防护（重点关“云查杀”），再试
composer install - 改用Git Bash执行——它把.bat转为shell wrapper，绕过UAC和杀软拦截
- 如必须用PowerShell，加
--no-scripts跳过脚本生成：composer install --no-scripts，后续手动调用逻辑即可 - 全局命令（如
laravel）找不到，先确认%APPDATA%\Composer\vendor\bin已加入PATH，并检查该目录下.bat文件的“安全”选项卡中当前用户有“读取和执行”权限
最易被忽略的点：缓存残留和composer.lock硬编码旧路径。哪怕镜像换对了、权限修好了，只要composer.lock里还记着https://packagist.org的provider地址，Composer就会拿着新镜像URL去请求旧路径，结果404或JSON decode error。删vendor/、composer.lock、清缓存，三者缺一不可。
