COMPOSER_AUTH是安全开关而非辅助配置：它绕过auth.json权限校验（无视600限制）、覆盖所有本地凭据文件、优先级高于store-auths和项目级auth.json，但要求JSON格式严格合法，否则静默失败致401。
Composer 环境变量不是“辅助配置”，而是安全机制的开关和绕过点——用错一个，就可能让 auth.json 权限校验、插件白名单、凭据加载顺序全部失效。
COMPOSER_AUTH 覆盖 auth.json 但不触发权限检查
当 COMPOSER_AUTH 环境变量存在时，Composer 会跳过读取 auth.json 文件（无论它是否存在、权限是否为 600），直接从环境变量解析凭据。这在 CI/CD 中是推荐做法，但容易踩坑：
- 环境变量值必须是合法 JSON 字符串，例如：
{"http-basic": {"repo.example.com": {"username": "ci", "password": "xxx"}}}；少一个引号或逗号就会静默失败，后续报 401 - 它不校验
auth.json的文件权限，所以即使你误把全局auth.json设成了 644，只要COMPOSER_AUTH存在，就不会报“auth.json permissions are too open”警告 - 与
store-auths冲突：如果store-auths是false，composer config命令不会写auth.json，但COMPOSER_AUTH仍可生效——这是正确行为，不是 bug - 优先级高于所有本地
auth.json，包括项目根目录下的那个；但低于命令行--auth参数（极少用）
COMPOSER_NO_INTERACTION 关闭交互却不阻止危险操作
COMPOSER_NO_INTERACTION=1 让 Composer 跳过所有确认提示（如 “Do you want to store credentials?”），但它完全不干预逻辑执行：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 它不会阻止
composer update运行，也不会让allow-plugins白名单失效 - 在 CI 脚本里只设这个变量，而没加
--no-plugins或--no-dev，照样会装入phpunit并启用未授权插件 - 它会影响
composer init等初始化命令的默认值，但生产部署中几乎不用这些命令 - 与
COMPOSER_ALLOW_SUPERUSER=1同时设，会导致 root 执行跳过所有防护提示——这不是“更安静”，是彻底关闭门禁
COMPOSER_HOME 控制凭据和插件的物理存放位置
COMPOSER_HOME 决定了 auth.json、config.json 和全局插件的根目录，默认是 ~/.composer。它直接影响安全边界：
- 若设为
/tmp/composer，且未限制该目录权限，auth.json可能被同服务器其他用户读取（尤其在共享主机或容器中） - 全局插件（如
symfony/flex）会安装到$COMPOSER_HOME/vendor/，如果该路径在open_basedir之外或被 Web 可访问，可能暴露插件源码 - 在 Docker 多阶段构建中，若
COMPOSER_HOME指向构建阶段临时目录，而最终镜像没清理它，auth.json可能意外残留 - 它不改变
allow-plugins的作用域——该配置只读取项目级composer.json，与COMPOSER_HOME无关
COMPOSER_DISABLE_XDEBUG 防止调试扩展干扰安装过程
COMPOSER_DISABLE_XDEBUG=1 在 PHP 8.2+ 环境中是硬性需求，否则 composer install 可能因 xdebug 触发 fatal error 而中断：
- 它不提升安全性，但保障了安全流程的完整性：如果安装卡死或失败，
--no-dev和--no-plugins就形同虚设 - 它只禁用 CLI 下的 xdebug，不影响 FPM 或 Apache 模块中的 xdebug 行为
- 与
php -d xdebug.mode=off效果类似，但更可靠——某些容器镜像中 PHP CLI 默认启用了 xdebug，而-d参数可能被 wrapper 脚本覆盖 - 它对
composer audit无影响，因为审计本身不依赖自动加载器或反射，但若 xdebug 导致 install 失败，audit 就没机会运行
真正危险的不是环境变量本身，而是它们之间隐含的依赖关系：比如 COMPOSER_AUTH 生效的前提是 store-auths 没被设成 true 并导致凭据被错误写入文件；又比如 COMPOSER_NO_INTERACTION 必须配合 --no-plugins 才算完整防护。漏掉其中一环，整条链就断了。
