Composer本身不控制文件权限，权限由运行用户、umask和文件系统决定；根本解决法是sudo chown -R $USER:$USER vendor/并设umask 0022，禁用sudo composer。
根本不用配置——Composer 本身不设权限，你得管运行它的用户和系统规则
为什么 chmod 或 --chmod 参数没用
Composer 没有 --chmod 参数，也不读 composer.json 里的权限字段。它生成的 vendor/autoload.php、vendor/bin/phpunit 或 vendor/composer/autoload_psr4.php，权限完全取决于：umask 值、文件系统挂载选项（如 noexec）、以及执行命令时的用户身份。你改不了 Composer 的行为，只能控制环境。
- 运行
composer install前，umask是0002？那新文件默认是664，组可写——生产环境不安全 - 如果之前用过
sudo composer install，整个vendor/目录树属主就是root，后续任何dump-autoload都会继续生成 root 属主文件 -
chmod -R 775 vendor/只是临时掩盖问题，下次 install/update 仍会覆盖权限，且可能让autoload_classmap.php这类敏感映射文件变成全局可写
Linux/macOS 上必须做的三件事
不是“建议”，是避免 PHP-FPM 报 Failed opening required 'vendor/autoload.php' 的底线操作：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 归还所有权：
sudo chown -R $USER:$USER vendor/（连同composer.lock和vendor/composer/下所有动态生成文件） - 收紧 umask：
umask 0022再运行composer install --no-dev --optimize-autoloader，确保新文件默认为644，目录为755 - 加固 vendor 本身：
find vendor/ -type f -exec chmod 644 {} \;+find vendor/ -type d -exec chmod 755 {} \;+ 单独处理脚本：chmod 755 vendor/bin/*
Docker 或 CI 环境中权限失控的根源
构建时用 root 用户（默认），运行时却用 www-data 或 1001，这就是典型的“构建-运行用户分离”问题。光靠 chmod 解决不了：
- Dockerfile 里别写
RUN composer install，改成：RUN adduser -u 1001 -D app && USER app，再RUN umask 0022 && composer install --no-dev - CI 脚本（如 GitHub Actions）要显式指定
run-as: ${{ env.USER }}或用actions/setup-php自带的非 root 用户 - 上线前务必用实际运行用户验证：
sudo -u www-data php -r "require 'vendor/autoload.php'; echo 'OK\n';"
Windows 下权限问题本质不同
Windows 不认 Unix 权限位，所以 Permission denied 报错几乎从不来自 chmod，而是：
-
vendor/bin/phpunit的 shebang 行（#!/usr/bin/env php）被忽略，导致 CMD 直接报“不是内部或外部命令”——解决方法只有php vendor/bin/phpunit或补.bat包装器 - WAMP/XAMPP 中 CLI 和 Apache 使用不同 PHP 版本或
php.ini，造成composer install成功但 Web 请求失败；检查php --ini和phpinfo()的 Loaded Configuration File 是否一致 - 项目放在 OneDrive、WSL 挂载点或加密卷里，会导致
file_put_contents随机失败；移到C:\projects\这类本地 NTFS 路径再试
最容易被忽略的是 vendor/composer/ 下那些自动生成的 autoload_*.php 文件——它们每次 dump-autoload 都会重写，权限和属主完全继承自当前执行用户，而不是你上次 chmod 的结果。
