Composer 2.2+ 安全策略升级：默认禁用所有插件，需在 composer.json 中通过 config.allow-plugins 显式授权
Composer 2.2+ 出现“Plugin not allowed”错误如何解决
自 Composer 2.2 版本起，执行 composer install 或 composer update 命令时，若遇到如下报错：
Plugin installation is disabled. You must explicitly allow plugins via config or --allow-plugins.
请注意，这并非文件权限问题。根本原因在于 Composer 2.2 引入了更严格的安全机制，默认会阻止加载 composer.json 中声明的所有插件。无论是用于加速的 hirak/prestissimo，还是用于工具集成的 phpstan/extension-installer，都需经过显式授权才能运行。
如何安全启用特定 Composer 插件（最佳实践）
最安全可靠的做法是仅在配置中为你明确信任的插件授予权限，而非全局放行。强烈建议将配置写入当前项目的 composer.json 文件内，操作步骤如下：
- 在项目根目录的
composer.json文件中，定位或创建根级别的"config"字段。 - 在该字段下，新增一个名为
"allow-plugins"的对象。其键值对设置至关重要：键（Key）必须为插件的完整包名，值（Value）设为true表示允许，false表示明确拒绝。 - 核心安全原则是：任何未出现在此白名单中的插件，Composer 将一律拒绝加载与执行。
以下是一个具体配置示例。假设你仅需允许 PHPStan 和 PHP_CodeSniffer 的安装器插件，配置应如下所示：
{
"config": {
"allow-plugins": {
"phpstan/extension-installer": true,
"dealerdirect/phpcodesniffer-composer-installer": true
}
}
}
保存配置后，直接重新运行 composer install 即可生效，无需附加任何 --allow-plugins 命令行参数，也无需修改全局设置。
为何应避免使用 --allow-plugins=true 或全局开启插件
网络上可能存在一些简化操作的方案，但以下两种方式均会绕过白名单安全机制，引入潜在风险：
- 使用
composer install --allow-plugins=true：此命令仅在本次执行中临时允许所有插件。不仅每次操作都需手动添加参数易被遗忘，更重要的是，它会对所有插件（包括未来新增的未知插件）无条件放行，丧失安全控制。 - 执行
composer config --global allow-plugins true：此操作更为危险，它会在全局范围内无条件启用插件加载。此后，您系统上所有 Composer 项目（包括从外部获取的未知仓库）都将自动运行其声明的任何插件，这为恶意代码执行提供了可乘之机。 - 需要警惕的是，许多插件在安装过程中拥有较高权限，可执行写入文件、修改依赖目录甚至运行 Shell 命令等操作。因此，严格的白名单机制是保障项目依赖安全与可控性的关键防线。
如何准确查找常见插件的完整包名
配置白名单时，最常见的错误是写错了插件包名。关键点在于：插件包名既非命令行中使用的简称，也非其 PHP 类名，而是定义在该插件自身 composer.json 文件内 "name" 字段的完整标识。如何准确获取？
- 最直接的方法是访问该插件的 GitHub 或 GitLab 代码仓库，直接查看其
composer.json源文件内容。 - 若插件已本地安装，可运行
composer show命令（例如/ composer show phpstan/extension-installer），在输出信息中查找name字段。 - 务必注意包名大小写与符号的完全匹配。例如
PHPStan/extension-installer与phpstan/extension-installer在 Composer 看来是两个不同的包，若前者未列入白名单，仍会导致加载失败。
实践经验表明，最稳妥的方式是直接从可靠来源复制粘贴包名，而非手动输入。因为即使仅有一个字符的差异，也会导致插件加载失败，而 Composer 的错误提示往往不会明确指出具体是哪个包名不匹配，会增加排查难度。
