composer install/update被allow-plugins阻止。这是Composer安全机制，删除vendor不能解决。

固定复现范围

从错误取得完整package名，用composer show与why确认来源及是否必要。

定位真实原因

只允许经过审核的具体插件：composer config allow-plugins.vendor/package true，不允许通配所有插件。

执行修复

配置写入项目composer.json并提交，保证CI与生产一致，不只改个人全局配置。

恢复后处理

重新validate和install，检查composer.lock没有意外大范围升级；未知插件保持阻止。

composer show vendor/package --all
composer why vendor/package
composer config allow-plugins.vendor/package true
composer validate
composer install --no-dev --prefer-dist --no-interaction

回归测试

干净环境可非交互构建，只加载批准插件；删除本地vendor重建结果一致。