Почему нельзя запускать composer install под рутом?

Включаем простую логику - под рутом любой скрипт выполняется с полным доступом к телу, включая возможность выполнять деструктивные операции не переспрашивая разрешения у наивного пользователя. Так? Так.

Дальше - Композером мы ставим сторонний код, хрен знает что там в том коде (вы же не проверяете лично все пакеты, а потом рекурсивно их зависимости, и зависимости их зависимостей). Поэтому так делать - ай-яй-яй-апасность. Рискованно. О чем Композер как бы намекает.

К тому же, вообще делать что-либо рутом на сервере - плохая практика. Именно по тем же причинам - чтобы по старинке не копипастнуть какой-нибудь код из этих ваших интернетов в командную строку - а дальше как в комменте FanatPHP про классику.

Должен быть отдельный пользователь, которым вы коннектитесь, и у него - права sudo. Использовать эти права только в крайних случаях, когда они реально нужны.