composer validate仅校验JSON语法和字段拼写，不保证install成功；定位语法错误需用php -l或JSONLint；validate通过后须运行composer install --dry-run验证依赖可达性与兼容性。
composer validate 只能发现 JSON 语法错误和字段拼写问题，不能保证 composer install 成功——它不联网、不解析依赖、不校验路径存在性，更不检查 PHP 版本兼容性。
怎么快速定位 JSON 语法错误（比如末尾逗号、中文引号）
Composer 报错常只说 [Syntax Error] JSON error: Parse error on line 12，但编辑器行号可能不准，尤其遇到 BOM、\r\n 混用或 AI 生成后残留注释时。
- 先跑
php -l composer.json：PHP 自带解析器报错更准，且能定位到具体字符位置 - 粘贴内容到 JSONLint：高亮非法字符（如单引号、未转义反斜杠、零宽空格
U+200B） - VS Code 用户装
JSON Tools插件，右键选Prettify JSON——自动补引号、修缩进，但注释得手动删（JSON 不允许//或/* */）
为什么 validate 通过了，install 却报 Could not find package
composer validate 默认不查 Packagist，也不验证 require 里的包名是否存在、版本约束是否可满足。它只认字段结构，不管语义。
-
"monolog/monolog": "999.0.0"是合法字符串，validate不报错；install才会去查源，然后失败 - 私有包写成
"myorg/mylib"但没配repositories，validate完全无视 -
"php": ">=8.0"校验通过，但你在 PHP 7.4 环境下运行install仍会中断 - 真正该补的命令是
composer install --dry-run：它模拟完整安装流程，校验依赖可达性与版本兼容性
CI 中怎么用才不翻车（--strict / --lock / --dry-run 的分工）
这三个参数解决不同层次的问题，混用反而掩盖真实风险。
-
composer validate --strict：把拼写错误（如requrie）、弃用字段（如archive）、缺失description等警告变错误，适合 Git hook 和 PR 检查 -
composer validate --lock：只比对composer.json和composer.lock的结构一致性（比如字段类型是否匹配），不校验 lock 是否“最新” -
composer install --dry-run：唯一能确认 lock 是否过期的命令。必须先rm -rf vendor composer.lock再执行，否则可能绕过校验 - CI 脚本里别只跑
validate—— 它连autoload路径是否存在都不管，dump-autoload -o才会暴露"src/"目录不存在的问题
最常被忽略的一点：composer.json 里写的 psr-4 映射路径，validate 从不检查对应目录是否存在；composer dump-autoload 也不会报错，直到你第一次 new 一个类时才 Class not found。这种问题只能靠人工核对或加一层脚本检查路径。
