composer如何在离线模式下跳过脚本和插件？

使用 composer install –no-scripts 可跳过所有脚本（含插件钩子），确保离线部署安全；它不影响 autoload 文件加载，但需提前生成好 vendor/autoload.php 和预填充缓存目录。

composer install 时如何跳过所有脚本执行？

离线环境下，composer install 默认仍会尝试运行 post-install-cmd、pre-autoload-dump 等脚本，一旦脚本里调用了外部命令（比如 npm install 或 php artisan optimize），就会失败或卡住。

直接加 --no-scripts 参数即可跳过全部脚本，包括插件注册的钩子——Composer 自身的脚本机制和大多数插件（如 hirak/prestissimo、symfony/flex）都依赖这个开关来判断是否该执行。

• composer install --no-scripts 是离线部署最安全的第一步
• 如果已写死在 composer.json 的 scripts 里（比如 "post-install-cmd": "php foo.php"），--no-scripts 同样生效
• 注意：这不会跳过 autoloader 生成，只是不触发脚本；自动加载逻辑本身仍正常工作

为什么 –no-plugins 不能只关掉部分插件？

--no-plugins 是全局开关，不是白名单机制。它会彻底禁用所有插件（包括 composer-plugin-api 实现的扩展），哪怕你只想跳过某个网络相关插件（比如 composer-asset-plugin）也不行。

离线时最常踩的坑是：以为加了 --no-plugins 就能绕过插件里的网络请求，结果发现连本地 PluginInterface::activate() 都没被调用——因为整个插件系统被 Composer 主流程直接跳过了。

• 插件的 activate() 方法在 --no-plugins 下完全不执行，所以别指望它做任何初始化
• 某些插件（如 symfony/flex）会在 activate() 里修改 composer.json 或写临时文件，禁用后这些副作用也不会发生
• 如果你依赖某插件的本地能力（比如自定义 installer），就不能用 --no-plugins，得改用 COMPOSER_PLUGIN_DISABLE=1 环境变量 + 手动排除特定插件

离线安装时 vendor/autoload.php 仍能用吗？

能。只要 vendor/composer/autoload_*.php 和 vendor/autoload.php 已存在（即之前成功生成过），--no-scripts 和 --no-plugins 不影响自动加载器的加载和使用。

真正容易出问题的是：某些项目把 autoloader 生成逻辑写进了脚本（比如 "post-install-cmd": "composer dump-autoload"），而你又没提前生成好——这时即使加了 --no-scripts，vendor/autoload.php 也可能是旧的或缺失的。

• 推荐做法：在线环境先跑一次 composer install --no-scripts --no-plugins，确保 autoload 文件就位，再把整个 vendor/ 打包带走
• 不要依赖离线时靠 composer dump-autoload 补救——它本身也是个脚本，会被 --no-scripts 拦住
• vendor/composer/autoload_classmap.php 等文件是静态生成的，不联网、不执行 PHP 代码，纯离线可用

COMPOSER_CACHE_DIR 和 composer.lock 的离线关键作用

离线模式下，composer install 完全不走网络，唯一依赖就是本地 composer.lock 和缓存目录里的包 ZIP。如果缓存缺失或 lock 文件过期，--no-scripts 也救不了你。

COMPOSER_CACHE_DIR 必须指向一个已预填充好的缓存目录（比如从内网镜像同步过来的），否则 Composer 会报错：Failed to extract vendor/package: unable to find archive。

• composer.lock 必须和 composer.json 严格匹配，且包含完整 content-hash；任意字段改动都会导致 install 失败
• 缓存目录里每个包对应一个 vendor/package/1.2.3/xxx.zip，路径和哈希必须与 lock 文件中 dist.shasum 一致
• 用 composer clear-cache 前确认离线环境有备用缓存，否则重装时会直接中断

离线场景下，--no-scripts 和 --no-plugins 是开关，不是补丁。它们不修复缺失的缓存或损坏的 lock 文件，只控制执行流——这点很容易被忽略。