composer validate 是唯一能直接校验 composer.json 语法和结构的官方命令，仅检查 JSON 合法性及 Composer schema 合规性，不验证包存在性、版本可解性或环境兼容性；通过不代表能 install，失败也不代表文件完全不可用，常见错误包括末尾逗号、单引号、全角符号、BOM 头等，需结合 --strict 和 --dry-run 分层验证。
composer validate 是唯一能直接校验 composer.json 语法的官方命令
它不是“能不能装上”的判断依据，只管 JSON 写得对不对、字段结构合不合 Composer 的 schema。通过了不等于 composer install 能跑通，失败了也不代表文件完全不能用——可能只是少了个逗号或多敲了个引号。
常见错误现象包括：JSON parse error: syntax error（末尾逗号、单引号、全角符号）、name is required（缺 name 字段）、Invalid version constraint（比如写成 "php": ">= 8.1" 带空格）。
- 必须在项目根目录下运行，否则报
No composer.json found - 默认不检查
composer.lock；想校验锁文件一致性，得加--lock - 想校验子目录里的配置，得显式传路径：
composer validate path/to/composer.json
报 JSON parse error 怎么快速定位具体位置
这不是 Composer 特有错误，而是纯 JSON 解析崩了，错误信息里写的 line 12 at column 5 就是精确坐标，不是示意。
终端里快速筛隐藏字符：cat -A composer.json | head -n 15 看有没有 ^M、M-BM-^ 或零宽空格标记（U+200B）。
绕过 Composer 直接测 JSON 更快：php -r "$j = file_get_contents('composer.json'); var_dump(json_decode($j));"，失败时会输出 json_last_error_msg()，比 validate 提示更直白。
- 常见元凶：
"require": {"monolog/monolog": "^2.0",}末尾多逗号 - 用单引号代替双引号：
'name': 'myorg/myapp'❌ - 从网页复制内容带的全角冒号、中文引号、BOM 头（
ef bb bf） - JSON 不允许注释（
//或/* */），哪怕临时加一行也会挂
为什么必须加 --strict 才算真校验
默认模式下，很多低级错误会被当空气放过：字段拼错、弃用写法、非标准 license 值，都只警告不报错 —— CI/CD 里这等于放行缺陷。
"autoloader" 拼成 "autoloader"？默认不报；加 --strict 直接失败。"license": "MIT License"（非 SPDX 标准）？默认警告；加 --strict 变错误。"type": "libary"（拼错）或 "minimum-stability": "dev-master"（已弃用）？只有 --strict 才拦截。
- CI 脚本推荐固定用：
composer validate --strict --no-check-publish -
--no-check-publish跳过 Packagist 发布检查，避免网络中断流程 - 不加
--strict时，缺description只会警告；加了就直接失败，适合团队统一规范，但别在还没定稿的私有项目里硬套
validate 通过了，install 却失败？这是正常现象
composer validate 不联网、不解析依赖、不查 PHP 版本兼容性，它只管“写得对不对”，不管“说的包存不存在”或“当前环境能不能跑”。
"require": {"php": ">=8.0"} 在 PHP 7.4 环境下照样通过 validate，但 install 会立刻挂。"monolog/monolog": "2.x" 这种非法版本约束，validate 不报，install 才提示 Could not parse version constraint。
- 真正暴露依赖问题，得靠
composer install --dry-run或composer update --dry-run - 它们会模拟安装全过程：校验包名、解析版本约束、比对
config.platform、检查锁文件一致性，但不下载任何东西 -
--dry-run在 Composer 2.5+ 才稳定支持；旧版 CI 应锁定 Composer 版本（如 2.7.7），避免行为差异
最常被忽略的一点：validate 不检查 autoload 路径是否存在、PSR 映射是否真实可加载——这些要等 composer dump-autoload --dry-run 才暴露。校验不是一锤定音的事，而是一层一层往下压的过程。
