使用 --no-plugins 可临时禁用所有 composer 插件，防止恶意代码执行、确保构建可预测、辅助故障排查及提升生产环境安全性，适用于不可信项目、ci/cd 构建等场景。
在使用 Composer 时，--no-plugins 参数的作用是临时禁用所有已安装和配置的插件。这意味着在当前命令执行过程中，Composer 不会加载或运行任何插件，包括项目依赖中声明的或全局配置的插件。
为什么需要禁用插件？
插件虽然能扩展 Composer 的功能（如自动加载优化、脚本增强、包管理定制等），但也可能带来安全风险或执行异常。在以下场景中，使用 --no-plugins 是一种合理且推荐的做法：
- 不可信来源的项目：当你克隆一个第三方项目，不确定其 composer.json 是否引用恶意插件时，用 --no-plugins 可防止潜在代码执行。
- CI/CD 安全构建：持续集成环境中，为确保构建过程干净、可预测，常通过设置 COMPOSER_NO_PLUGINS=1 或直接加 --no-plugins 来避免插件干扰。
- 故障排查：当 Composer 命令行为异常（如卡死、报错位置不明确），关闭插件有助于判断是否由某插件引起。
- 最小化依赖执行：在容器或生产部署中，仅需基础安装逻辑，无需额外插件功能，提升执行效率与安全性。
如何使用 --no-plugins
该参数可附加到大多数 Composer 命令前或后，例如：
composer install --no-plugins composer update --no-plugins composer require foo/bar --no-plugins
你也可以通过环境变量全局控制：
COMPOSER_NO_PLUGINS=1 composer install
这在自动化脚本中更方便统一管理。
安全模式下的最佳实践
- 在 CI 流水线中默认启用 --no-plugins，除非明确需要某个可信插件。
- 结合 --no-scripts 一起使用，进一步限制自定义代码执行：
composer install --no-plugins --no-scripts - 审查 composer.json 中的 "extra" 和 "plugins" 字段，确认无未知插件注册。
基本上就这些。合理使用 --no-plugins 能有效降低因插件引发的安全隐患，尤其在处理外部代码或高安全要求环境时，是一个简单却重要的防护措施。
