allow-plugins不支持全局配置，仅在项目级composer.json的config.allow-plugins中生效；必须显式声明如"symfony/flex": true，不可用通配符，且白名单不继承、不传递。
allow-plugins 全局配置根本不会生效
Composer 不支持全局范围的 allow-plugins 白名单。这个配置项只允许出现在项目级 composer.json 的 config.allow-plugins 下，全局配置文件（~/.composer/config.json 或 %APPDATA%\Composer\config.json）里写它会被完全忽略。
常见错误现象：
- 在
composer config --global allow-plugins true后仍报插件被拒，以为“设了但没用” - 误以为
--global能统一管控所有项目插件权限，结果每个新项目都得重配
原因很直接：Composer 的插件白名单是「每项目决策」，必须由项目自身声明信任谁。这是安全模型的设计前提——不能让一个全局开关绕过项目边界。
白名单只认项目 composer.json 里的 config.allow-plugins
必须把白名单写进当前项目的 composer.json，且位置严格："config": { "allow-plugins": { ... } }。其他位置（如根级、extra、scripts）无效。
实操要点：
-
"symfony/flex": true是合法条目；"symfony/*": true或"*": true会被 Composer 忽略（不报错，但不生效） - 值只能是
true或false，不能是字符串"true"，也不能带尾随逗号 - 如果依赖链中某包 A 依赖 B，而 B 是插件，但 A 的
composer.json没授权 B，则安装 A 时仍会拦截——白名单不传递、不继承
全局配置能影响插件行为的唯一方式
只有两个全局配置项间接关联插件执行：
-
COMPOSER_NO_PLUGINS=1环境变量：强制跳过所有插件加载，优先级高于任何allow-plugins设置 -
COMPOSER_ALLOW_PLUGINS=0（或任意非 1 值）：等效于--no-plugins，同样全局禁用
注意：COMPOSER_ALLOW_PLUGINS=1 并不会打开白名单，它只是取消「禁止插件」的硬限制，但具体哪个插件能跑，还是得看项目自己的 config.allow-plugins。
CI/CD 中最容易漏掉的验证环节
改完项目 composer.json 的白名单后，必须立刻验证是否真生效：
- 运行
composer install --dry-run，看是否还有Plugin installation is disabled提示 - 检查输出里是否出现
Loading plugin vendor/name，这是插件已注册的明确信号 - 别只信本地测试——CI 环境常有缓存或 wrapper 脚本，可能绕过你的配置；建议在 CI 日志里 grep
allow-plugins和Loading plugin
白名单不是设完就完的事。它只控制「能否注册」，不保证「一定会执行」；有些插件注册后还需额外配置（比如 extra.symfony.allow-contrib）才真正干活。漏掉这层，问题会卡在更隐蔽的位置。
