应禁用PHP安全模式：修改php.ini中safe_mode=Off并重启服务；若无法修改，则用--no-scripts、--no-plugins参数运行Composer，或降级至1.10.x版本，或本地构建后上传vendor目录。
PHP 安全模式（safe_mode）在 PHP 5.4 已废弃、5.6 彻底移除，如果现在还报相关错误，说明你正运行一个极老旧或被定制过的 PHP 环境（比如某些遗留共享主机），必须禁用它，否则 composer install 会持续失败——因为 Composer 需要调用 proc_open、system 等函数来执行脚本、生成 autoload、优化类映射等关键操作。
为什么 safe_mode=On 会让 composer install 直接卡死
Composer 在安装过程中会触发多个需系统调用的环节：post-install-cmd 脚本、autoload 重写、optimize-autoloader 生成 classmap、插件初始化。一旦 safe_mode 开启，这些函数会被 PHP 内核直接拒绝，错误通常表现为：
proc_open(): Safe mode is onshell_exec() has been disabled for security reasons-
Warning: Cannot modify header information（间接由 exec 失败引发 autoload 异常）
这不是网络或权限问题，是 PHP 运行时层面的硬拦截，绕不过去。
优先改 php.ini：找到并关闭 safe_mode
别信“没权限改配置”——先确认是否真不能改。执行以下命令定位真实生效的配置文件：
立即学习“PHP免费学习笔记（深入）”；
php --ini
看输出中 Loaded Configuration File 的路径，然后打开它：
- 搜索
safe_mode，把safe_mode = On改成safe_mode = Off - 顺手注释或清空
safe_mode_exec_dir、safe_mode_allowed_env_vars等关联指令 - 重启服务：
sudo systemctl restart php-fpm（或sudo apachectl restart） - 验证是否生效：
php -r "echo ini_get('safe_mode');"应输出0
实在没法改 php.ini？用 --no-scripts --no-plugins + 独立 PHAR
若你处于无法修改全局配置的共享主机环境，只能走隔离路线。注意：这不是“兼容”，而是“降级保命”：
- 下载独立 PHAR：
curl -sS https://getcomposer.org/installer | php -- --filename=composer.phar - 强制禁用所有需 exec 的环节：
php composer.phar install --no-scripts --no-plugins - 加环境变量避免交互干扰：
COMPOSER_NO_INTERACTION=1 COMPOSER_DISABLE_TTY=1 php composer.phar install --no-scripts --no-plugins - 后续手动加载类：确保
vendor/autoload.php存在且可读，再在代码里require 'vendor/autoload.php';
⚠️ 这种方式跳过了所有 post-install 逻辑（比如 Laravel 的 php artisan optimize:clear、Symfony 的 cache:warmup），你得自己补上，否则项目大概率启动失败。
别踩这些坑
安全模式已死多年，但残留问题容易误导人：
-
--ignore-platform-reqs对safe_mode完全无效——它只跳过 PHP 版本/扩展检查，不解除内核函数禁用 - 别试图用
disable_functions替代safe_mode关闭——两者机制不同，且disable_functions本身在安全模式下也受限制 - 降级 Composer 到 1.10.x 是历史方案，新版（2.5+）已彻底放弃对 safe_mode 的任何适配，强行用旧版可能引入 CVE
- 本地构建后上传
vendor/可行，但必须保证目标服务器 PHP 版本、扩展、opcache配置与本地完全一致，否则 runtime 报错更难排查
真正该花时间的地方，是推动服务器升级到 PHP 8.1+ 并彻底移除 safe_mode 遗留配置——所有绕过手段都只是临时止血，不是解药。
