Composer 需单独安装并初始化项目才能管理依赖；运行 composer install 前必须存在 composer.json，否则报“Could not find a composer.json file”；通过 composer --version 验证安装，若 command not found 则需检查 PATH 或使用 php composer.phar --version；Windows 用户安装后需重启终端；共享主机禁用 proc_open() 会导致 update 卡住；国内用户应配置阿里云镜像；composer init 适合新手但易漏字段，手写 composer.json 更可控；最小 composer.json 至少含 name 和 require；autoload 未配置则无法自动加载自定义类；install 按 lock 文件还原依赖，update 重新解析并更新 lock；线上严禁随意 update；vendor 不提交，composer.lock 必须提交。
Composer 不是 PHP 内置工具，必须单独安装并初始化项目后才能管理依赖；直接运行 composer install 而不先有 composer.json 会报错“Could not find a composer.json file”。
怎么确认 Composer 已正确安装并可用
打开终端执行 composer --version，能输出类似 Composer version 2.7.7 才算就绪。如果提示 command not found，说明没加到系统 PATH，别急着重装——先检查是否用了 curl -sS https://getcomposer.org/installer | php 方式下载了 composer.phar，这种情况下得用 php composer.phar --version 或把 composer.phar 移到 /usr/local/bin/composer 并加执行权限。
- Windows 用户用官方 Installer 安装后，需重启终端才生效
- 某些共享主机禁用
proc_open()，会导致composer update卡住或报错“proc_open(): fork failed”，这时只能本地装好再上传vendor/和composer.lock - 国内用户建议运行
composer config -g repo.packagist composer https://packagist.phpcomposer.com（注意：该镜像已停用）或改用https://packagist.org配阿里云镜像：composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/
初始化项目时 composer init 和手写 composer.json 哪个更靠谱
composer init 是交互式向导，适合新手快速生成基础结构，但容易漏掉关键字段（比如 autoload 配置），而且一旦填错得重来。实际开发中，多数人直接新建 composer.json 文件写死内容更可控。
- 最小可用的
composer.json至少含name、require两个字段，例如：{ "name": "myapp/demo", "require": { "monolog/monolog": "^2.10" } } - 如果项目要被其他包引用（比如你写了个 SDK），必须设
name且格式为vendor/name，否则composer require会拒绝安装 -
autoload没配的话，require 'vendor/autoload.php'能加载第三方包，但你自己写的类不会被自动引入——这时候得加"psr-4": {"App\": "src/"}或"files": ["helpers.php"]
composer install 和 composer update 的本质区别在哪
composer install 只按当前目录下的 composer.lock 精确还原依赖版本，适合部署；composer update 则忽略 lock 文件，按 composer.json 中的版本约束重新解析最新兼容版本，并更新 lock 文件——这正是线上环境严禁随意执行 update 的原因。
立即学习“PHP免费学习笔记（深入）”；
- CI/CD 流水线里应固定用
composer install --no-dev，避免测试专用包（如phpunit/phpunit）进生产 - 若想升级单个包（比如只升
guzzlehttp/guzzle），用composer update guzzlehttp/guzzle，比全量update更安全 - 执行
update后若发现某包行为异常，可立刻用git checkout composer.lock回退，再install恢复原状
最常被忽略的是 vendor/ 目录不该提交进 Git——但 composer.lock 必须提交。有人删了 lock 文件以为能“清干净”，结果不同机器上 install 出来的依赖小版本不一致，半夜线上出 Bug 都找不到源头。
