使用 --no-scripts 参数可禁用脚本执行，结合 composer.json 中 allow-plugins 配置控制插件权限，并通过 grep 审计第三方脚本，确保依赖安全。
Composer 默认会在安装或更新包时自动执行 scripts 中定义的脚本，比如 post-install-cmd 或 post-update-cmd。如果这些脚本来自不可信的第三方包，可能会带来安全风险。要防止 Composer 自动执行不安全的脚本，可以采取以下几种方式：
1. 使用 --no-scripts 参数
在运行 composer install 或 composer update 时，添加 --no-scripts 参数，可完全禁用所有脚本执行。
composer update --no-scripts
这种方式适合在生产环境或你不确定依赖包是否可信时使用。
2. 配置 composer.json 禁用脚本
可以在项目的 composer.json 文件中设置 config 字段，禁止脚本执行：
注意：虽然这主要用于控制插件加载（Composer 2.2+ 引入的插件系统），但结合脚本限制能增强整体安全性。目前 Composer 尚未提供直接在配置中全局关闭 scripts 的选项，因此仍需依赖命令行参数或自动化流程控制。
3. 显式确认脚本执行（交互式模式）
虽然 Composer 没有内置“交互式确认脚本”功能，但你可以通过包装脚本来实现。例如，在 CI/CD 或部署脚本中提示人工确认，或使用封装脚本检查哪些包定义了脚本。
查看哪些包定义了脚本：
grep -r "scripts" vendor/这样可以审计第三方包是否包含可疑命令。
4. 使用 allow-plugins 精细化控制（Composer 2.2+）
从 Composer 2.2 开始，插件执行受到严格控制。你可以明确启用或禁用特定包的插件权限，避免恶意代码自动运行：
{ "config": { "allow-plugins": { "composer/package-foo": true, "other-vendor/malicious-plugin": false } } }设置为 false 或省略未知插件，Composer 会提示或阻止加载。由于部分脚本可能由插件触发，控制插件即间接控制脚本风险。
基本上就这些。最有效的方式是在敏感环境中始终使用 --no-scripts，并定期审查依赖包的脚本内容，确保没有执行恶意命令。安全虽麻烦，但值得。
