composer如何处理依赖包中的composer.json脚本

Composer默认不执行依赖包中的脚本以确保安全，仅运行根项目composer.json中定义的脚本；若需执行依赖脚本，必须在根项目中通过allow-plugins明确授权插件权限，且仅对可信包开放。

Composer 在安装或更新依赖包时，会读取每个包中的 composer.json 文件，其中定义的脚本（scripts）默认情况下不会自动执行。这是出于安全和控制的考虑，避免第三方包在未经允许的情况下运行任意代码。

依赖包中 scripts 的默认行为

当你通过 Composer 安装一个依赖包时，该包 composer.json 中定义的脚本（如 post-install-cmd、post-update-cmd 等）不会被执行。只有根项目（你的主项目）的 composer.json 中定义的脚本才会被触发。

例如，某个依赖包的 composer.json 包含：

{
    "scripts": {
        "post-install-cmd": "echo 'Hello from dependency!'"
    }
}

这行脚本在你运行 composer install 时不会输出任何内容，因为它属于依赖项，Composer 忽略其脚本执行。

如何启用依赖包的脚本

如果你确实需要执行依赖包中的脚本（比如某些包文档明确要求），可以通过配置 Composer 的 allow-plugins 或使用 config 中的 disallow-plugins 控制，但更关键的是脚本执行权限机制。

从 Composer 2.2+ 开始，引入了插件脚本的显式授权机制。你需要在根项目的 composer.json 中明确允许某个包运行脚本：

{
    "scripts": {
        "post-autoload-dump": [
            "Some\Package\Installer::run"
        ]
    },
    "config": {
        "allow-plugins": {
            "vendor/package-name": true
        }
    }
}

注意：allow-plugins 是用来控制是否允许某个包作为插件运行，而插件才能执行高级脚本逻辑。普通脚本仍受作用域限制。

依图语音开放平台

依图语音开放平台

6

查看详情

何时会执行依赖包的脚本？

以下情况可能触发依赖包脚本：

• 该包被当作插件（plugin）安装，并且你在根项目中启用了它
• 你在根项目的脚本中手动调用了依赖包提供的命令或类
• 你使用了某些支持嵌套脚本合并的工具或自定义脚本处理器

例如，一些官方推荐的包（如 hirak/prestissimo、symfony/flex）是插件形式，安装后会在允许的前提下自动执行优化逻辑。

安全建议

Composer 默认不执行依赖脚本是为了防止恶意代码执行。你不应随意开启未知来源包的脚本权限。只对可信包设置 "allow-plugins": {"vendor/name": true}。

检查依赖包是否有潜在脚本行为，可查看其 composer.json 和文档说明，避免引入风险。

基本上就这些。Composer 对依赖脚本的处理是“静默忽略”，除非你主动授权或集成。这样既保证灵活性，又确保项目安全。

以上就是composer如何处理依赖包中的composer.json脚本的详细内容，更多请关注php中文网其它相关文章！