不能用 sudo composer install，因为sudo会切换到root环境导致HOME错位、vendor文件属主为root、脚本以root执行引发安全风险；应改权限后普通用户执行。
为什么不能用 sudo composer install
根本原因不是权限高就能解决问题，而是 composer 在 sudo 下会切换到 root 用户环境，导致：
– HOME 目录变成 /root，插件缓存、配置（如 auth.json）全错位；
– 当前项目中 vendor/ 所有文件归 root 所有，后续普通用户无法修改或重装；
– 某些脚本（如 post-install-cmd）以 root 身份执行，可能意外写入系统路径或触发安全限制。
正确修复 vendor 目录权限的顺序
先确认当前用户对项目目录有完整控制权，再清理残留的 root 占用：
- 运行
ls -ld . vendor，检查vendor/是否属root； - 若属 root，执行
sudo chown -R $USER:$USER vendor/（注意：仅改vendor/，不碰composer.lock或源码）； - 再运行
composer install（无sudo），Composer 会复用已有结构，只更新缺失/变更的包； - 如果报
Could not delete ...，说明某些文件仍被 root 锁定，可加--no-scripts跳过钩子，之后再手动触发composer run-script post-install-cmd。
永久避免权限问题的安装方式
全局安装 composer 本身不应依赖 sudo：
- 用官方推荐的 curl 方式：
curl -sS https://getcomposer.org/installer | php -- --install-dir=/home/$USER/bin --filename=composer； - 确保
/home/$USER/bin在$PATH中（写入~/.bashrc或~/.zshrc）； - 后续所有项目都用普通用户执行
composer install、composer update； - 如需全局插件（如
hirak/prestissimo），也必须用composer global require（非sudo composer global require）。
composer create-project 报错 Permission denied 的直接处理
这个命令本质是先 git clone 或下载 zip，再 composer install。出错通常卡在解压或写 vendor/ 阶段：
- 先检查目标目录是否可写：
touch test.txt && rm test.txt； - 若失败，说明父目录权限不对，用
chmod u+rwx 项目目录名； - 若已存在部分
vendor/且属 root，别删整个目录，只用sudo chown -R $USER:$USER vendor/修正所有权； - 再重试
composer create-project，它会跳过已存在的vendor/并继续安装依赖。
实际项目里最常被忽略的是：vendor/ 权限混乱后，即使改回普通用户，某些 .so 扩展或二进制工具（如 phpunit）仍因路径缓存失效——这时候得清空 ~/.composer/cache/ 并重新 composer install。