composer install --no-scripts是唯一有效禁用所有scripts钩子的方式，它必然跳过post-install-cmd、pre-autoload-dump等脚本执行，但不阻止依赖下载和autoload.php生成；仅加该参数不够，必须配对--no-plugins才能彻底阻断插件注入的钩子。
composer install --no-scripts 是唯一有效方式
加 --no-scripts 才能真正跳过 post-install-cmd、pre-autoload-dump 等所有脚本执行。删空 scripts 字段、设环境变量、用 --quiet 或 --no-dev 都无效——Composer 只认这个参数。
它不阻止依赖下载、不跳过 vendor/autoload.php 生成，只拦脚本调用。但要注意：如果项目靠 post-install-cmd 复制 .env 或写配置，跳过后直接启动会报错。
-
composer install --no-scripts是标准写法；composer --no-scripts install等价于composer --help，顺序不能错 - CI/CD 中必须显式加上
--no-interaction，否则遇到交互提示（如确认替换文件）会卡住 -
--no-scripts对composer require和composer update同样生效，但不影响composer run-script
要防插件注入，必须加 --no-plugins
只加 --no-scripts 不够。插件（比如 symfony/flex）能在加载时绕过 scripts 字段，直接注册钩子并执行任意代码。真正禁用所有自动执行逻辑，得配对使用：
composer install --no-scripts --no-plugins
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
--no-plugins会跳过整个插件生命周期：不读composer.json的plugins字段、不扫描vendor/、连autoload_plugins.php都不生成 - 环境变量
COMPOSER_NO_PLUGINS=1可作备用，但优先级低于命令行参数，且部分旧镜像未启用 - CI 脚本若封装了
bin/composer，必须确认该脚本没默认注入--plugins或其他 flag
CI/CD 中别盲目跳脚本，先确认哪些真能跳
很多团队为“提速”加 --no-scripts，结果测试环境缺失关键初始化，上线才发现异常。典型翻车点：
- 跳过了
post-root-package-install，导致.env.example没复制成.env - 跳过了
post-autoload-dump，类映射没优化，性能下降但本地压测难暴露 - 某些包（如
laravel/framework）的脚本会检查扩展是否启用，跳过之后报错信息反而更模糊
建议做法：安装阶段用 --no-scripts --no-plugins，之后单独跑 composer run-script post-install-cmd 补必要动作——把控制权拿回来，而不是赌脚本“应该没事”。
快速确认项目有没有危险脚本
别手动 grep，用 Composer 自带工具做静态扫描：
- 运行
composer validate --strict，它会警告含exec、system、shell_exec、passthru、proc_open的字符串 - 检查
scripts字段是否含 HTTP URL（curl https://）、绝对路径（/tmp/xxx.sh）、或变量展开（${HOME}） - 对疑似命令，先加
echo预览真实展开：echo php -r 'echo getenv("MALICIOUS");' - 重点盯住
post-root-package-install和pre-autoload-dump，这两个钩子常用于环境探测和条件执行
真正安全不是靠跳过，而是知道哪些脚本在干什么、为什么必须跑、以及不跑时怎么手动补——参数只是开关，判断力才是底线。
