Composer需单独安装并正确配置PATH，运行composer --version输出版本号即为安装成功；初始化项目须用composer init或手写composer.json，依赖管理依赖该文件，composer install按lock文件安装确保一致性，composer update更新依赖树。
Composer 不是 PHP 内置工具，必须单独安装并初始化项目才能用；没 composer.json 就没有依赖管理，硬拷包或改 vendor 目录会直接破坏一致性。
怎么确认 Composer 已正确安装并可用
运行 composer --version 能输出版本号（如 Composer version 2.7.7），才算装好。Windows 用户常见问题是 PATH 没配对，或者用了旧版 PHP（php -v 查看是否 ≥ 8.0）；macOS 用 Homebrew 安装后，可能需要手动加 /opt/homebrew/bin 到 shell 配置里。
- 别信“双击安装包就完事”——Windows 下推荐用官方
Composer-Setup.exe，它会自动检测 PHP 并写入 PATH - Linux/macOS 手动安装后，执行
which composer确认路径，再试php -m | grep openssl，缺openssl扩展会导致composer install报file could not be downloaded - 如果提示
command not found，不是 Composer 没装，是 shell 没刷新环境变量，新开终端或执行source ~/.zshrc（或~/.bashrc）
初始化项目时 composer init 和手写 composer.json 怎么选
composer init 是交互式向导，适合新手快速生成骨架，但容易漏填 autoload 或写错 type（比如把 library 错成 project）；手写更可控，尤其当你明确要 PSR-4 自动加载时，直接写清楚命名空间和路径更省事。
- 新建项目第一件事：先
mkdir myapp && cd myapp && composer init，回答完问题后立刻检查生成的composer.json是否含"autoload": {"psr-4": {"App\": "src/"}} - 如果只是临时加一个工具类（比如解析 CSV），不必 init 全流程，直接
composer require league/csv，它会自动创建composer.json并写入依赖 - 别在已有
vendor的目录下反复init，会覆盖原有配置；想重置？删掉composer.json和vendor再来
composer require 加包时为什么总报错
最常见三类错误：Could not find package xxx（拼错包名或仓库不可达）、Conclusion: don't install xxx v2.0（版本冲突）、Root composer.json requires xxx ^1.0, found xxx[dev-main] but it does not match the constraint（约束太死）。根本原因是 Composer 默认只搜 packagist.org，且严格按语义化版本做依赖求解。
立即学习“PHP免费学习笔记（深入）”；
- 查包名一定要去 packagist.org 搜，别凭印象写——比如
monolog正确，monolog/logger就错 - 遇到冲突先看报错里提到的已存在包（比如
guzzlehttp/guzzle），用composer show guzzlehttp/guzzle查当前版本，再决定是--with-all-dependencies强制升级，还是加@dev临时用开发版 - 国内用户务必配镜像源：
composer config -g repo.packagist composer https://packagist.phpcomposer.com（注意：2023 年后推荐用https://packagist.laravel-china.org或阿里云源）
composer install 和 composer update 到底该用哪个
install 读 composer.lock 装**完全一致**的版本，用于部署、CI、协作开发；update 重新计算依赖树，升到符合 composer.json 约束的**最新兼容版**，仅应在本地开发时主动触发。
- 团队协作中，
composer.lock必须提交到 Git——没它，不同人install出来的包版本可能差好几个小版本，引发难以复现的 bug - CI 流水线里永远用
composer install --no-dev（跳过require-dev），否则测试工具混进生产环境 - 执行
update后，composer.lock会变，这时必须git add composer.lock并提交，否则下次install还是旧版本
真正麻烦的从来不是命令记不住，而是搞不清 composer.lock 什么时候该删、vendor 里能不能手动删某个文件、以及为什么换 PHP 版本后 composer install 突然失败——这些都得回到「依赖树求解」和「平台配置」两个底层逻辑去看。
