根本原因说白了就一件事：vendor/、composer.lock 或者 ~/.composer/cache/ 这三个目录的归属权被落在了 root 或其他非当前用户手上，导致写入失败。90% 的 Permission denied 都卡在这个点上——不是 Composer 本身坏了，而是它写不了文件。
ls -ld 三连查：先定位谁在拦你
别急着瞎猜，直接用三行命令把权限现状摸清楚：
ls -ld vendor/ composer.lock—— 看属主是不是root或别的用户composer config --global cache-dir—— 拿到缓存路径，再ls -ld查归属whoami和id -u—— 确认当前执行用户和 UID，尤其在 Docker 或 CI 里容易错位
只要任意一行输出里第一列写着 root（比如 drwxr-xr-x 12 root root），问题就不是权限位（rwx）不够，而是“这目录到底归谁管”出了偏差。
chown 是解药，chmod -R 777 是毒药
很多人搞混了一件事：改权限 ≠ 改归属。chmod 控制的是“能不能读写”，chown 才决定“这东西归不归你”。误用 sudo chmod -R 777 会让 vendor/bin/phpunit 这类可执行文件被 CI 工具拒绝，Git 提交时还会报 ownership changed——这几乎是给自己埋雷。
- 修项目内：
sudo chown -R $USER:$USER vendor/ composer.lock - 修全局缓存：
sudo chown -R $USER:$USER $(composer config --global cache-dir) - 整个
~/.composer都属root？直接重置：sudo chown -R $USER:$USER ~/.composer
sudo 在这里只是借权跑 chown，不是让你去跑 sudo composer install——后者才是污染源头。一旦误用，vendor/ 下可能混进 root 所有子目录，后续 composer update 可能只失败一半，chown -R 都救不回来，只能删掉 vendor/ 重来。
composer global require 报错？先盯住 COMPOSER_HOME
global 不是“装给所有人用”，只是“装给当前 COMPOSER_HOME 对应的用户”。如果 PHP-FPM 或 cron 用的是 www-data 用户，它根本看不到你个人账户下的 ~/.composer。
- 查当前生效路径：
composer config --global home - 如果输出是
/var/www/.composer或/root/.composer，就得确认该路径属主是不是当前执行用户 - 临时切换验证：
COMPOSER_HOME=$HOME/.composer composer global require foo/bar，能跑通就说明原路径才是问题 - 不建议长期用
sudo composer global require，这会让二进制文件（如lara vel）落在/root/.composer/vendor/bin，普通用户根本执行不到
插件、Docker、缓存路径迁移这些隐性坑
有些权限错误根本不出现在主流程里，冷不丁就冒出来恶心你一下：
- 插件惹的祸：加
--no-plugins --no-interaction试试，composer install --no-plugins成功，就说明是某个全局插件（比如hirak/prestissimo）在/tmp创建 socket 后没释放权限 - Docker 里别用
root跑composer install：构建阶段用多阶段，运行阶段坚持USER 1001；挂载宿主机vendor/时，容器内root写的文件，本地 IDE 就会失灵 - 缓存路径可迁移到用户空间：
composer config --global cache-dir ~/.cache/composer，然后mkdir -p ~/.cache/composer，避免反复踩~/.composer权限混乱的老坑
最麻烦的不是修一次权限，而是某次 sudo composer 后，vendor/ 下混进了 root 所有子目录——这种嵌套不一致，chown -R 也覆盖不到，只能删掉重来。
