composer validate 是唯一能直接校验 composer.json 语法和结构的官方命令，但它默认只做最基础的 JSON 和 schema 检查；报 JSON parse error 需据行号列号定位，常见问题包括末尾逗号、全角符号、引号缺失；加 --strict 才启用字段合法性、值范围、弃用检查等完整校验，CI/CD 中应强制使用并配合 --no-check-publish 和 composer install --dry-run。
composer validate 是唯一能直接校验 composer.json 语法和结构的官方命令，但它默认只做最基础的 JSON 和 schema 检查——通过了 ≠ 能装上，也不代表配置没逻辑错误。
报 JSON parse error 怎么快速定位问题行
这类错误不是 Composer 规范问题，而是纯 JSON 语法翻车，必须人工揪出具体位置：
- 错误信息里写的
line 12 at column 5就是精确坐标，不是“大概在附近” - 常见元凶：末尾多逗号（尤其在
"require": {"foo/bar": "^1.0",}最后一项后）、中文冒号或引号、单引号代替双引号（'name': 'myorg/myapp'合法？不合法） - 隐藏字符高发区：从网页复制内容可能带零宽空格（
U+200B），用cat -A composer.json或xxd composer.json | head查 BOM 头（ef bb bf） - 绕过 Composer 直接测 JSON：运行
php -r "$j = file_get_contents('composer.json'); var_dump(json_decode($j));"，失败时会输出json_last_error_msg()
为什么 --strict 必须加，而且要日常开
默认模式下，很多低级错误会被当空气放过去，比如字段拼错、弃用写法、非标准 license 值——这些只有 --strict 才会拦截：
-
"autoloader"拼成"autoloader"？默认不报；加--strict直接失败 -
"license": "MIT License"（非 SPDX 标准）？默认警告；加--strict变错误 -
"type": "libary"（拼错）或"minimum-stability": "dev-master"（已弃用）？--strict才拦住 - CI/CD 中建议固定用
composer validate --strict --no-check-publish：--no-check-publish跳过 Packagist 发布检查（避免网络或权限中断流程）
validate 通过了，install 却失败？这是正常现象
validate 不联网、不解析依赖、不检查 PHP 版本兼容性，它只管“写得像不像人话”，不管“说的包存不存在”：
-
"require": {"php": ">=8.0"}在 PHP 7.4 环境下照样通过validate，但install会立刻挂 -
"monolog/monolog": "2.x"这种非法版本约束，validate不报，install才提示Could not parse version constraint - 私有包名
"myorg/mylib"没配repositories？validate完全沉默，直到install阶段才报Could not find package - 真正暴露依赖问题的命令是
composer install --dry-run：它走完整依赖求解流程，校验包存在性、版本可解性、锁文件一致性，且不写vendor
CI/CD 里怎么配才不翻车
别只跑 composer validate 就交差，它只是第一道过滤网：
- 必须加
--strict，并配合set -e（Bash）或fail-fast: true（GitHub Actions），确保失败就中断 - 必须补
composer install --no-install --dry-run：比--dry-run更轻量，跳过下载和解压，只做依赖图解析，适合 CI - 如果用了自定义
repositories（如 Git URL 或 Satis），validate完全无感，只有--dry-run能验证可达性 - 别忽略
composer.lock：它损坏不会被validate发现，要用composer lock --check（Composer 2.2+）或composer install --no-install
最容易被忽略的是：autoload 路径是否存在、PSR-4 映射是否真实可加载、脚本定义是否引用了未声明的命令——这些 validate 全都不管，得靠 composer dump-autoload --dry-run 或实际执行测试来兜底。
