不能用 root 运行 composer，因会执行第三方脚本导致安全风险，且生成的 vendor/ 文件属主为 root 引发后续权限错误；应修复目录归属与权限，改用当前用户操作。
别用 root 运行 composer，这不是权限问题，是安全漏洞。你遇到的所谓“权限不足”，99% 是因为 vendor/ 目录归属或 composer.json 所在路径的写入权限不对，不是 composer 本身需要提权。
为什么不能用 root 运行 composer
composer 会执行 scripts（比如 post-install-cmd），这些脚本可能来自第三方包，一旦以 root 身份运行，任意包都能写入系统任意位置、修改关键配置、甚至植入后门。历史上已有多个包利用此方式污染开发环境。
另外，root 运行产生的 vendor/ 文件默认属主是 root，后续你用普通用户执行 php artisan 或 npm run dev 就会因无权读取而报错——这反而制造了新问题。
真正要修的是目录权限和用户归属
检查当前项目路径是否可被你的用户完全控制：
- 运行
ls -ld .，确认当前目录属主是你自己的用户（不是root） - 如果属主是
root，执行sudo chown -R $USER:$USER ./（注意末尾的./，只改当前目录及子项） - 删掉现有的
vendor/和composer.lock（它们很可能已被 root 写坏） - 再用你自己的用户运行
composer install
CI/CD 或 Docker 环境里怎么处理
这类场景容易误以为“必须 root”，其实只需确保构建用户有写权限：
- Dockerfile 中避免
USER root，改用USER 1001:1001并提前chown -R 1001:1001 /app - GitHub Actions 默认用
runner用户，只要 checkout 后没手动sudo chown，就无需提权 - 如果 CI 报
Permission denied @ dir_s_mkdir，说明缓存目录（如~/.composer/cache）被上一次 root 构建污染，清理它：sudo rm -rf ~/.composer/cache，再重试
最常被忽略的一点：有些 IDE（比如 PHPStorm）内置终端默认继承 GUI 用户权限，但如果你曾手动用 sudo su 切过身份，它的子 shell 可能卡在 root 上不退出——关掉所有终端窗口，重启 IDE，再试一次 composer install，大概率就好了。
