vendor目录是Composer实现依赖隔离、命名空间落地与自动加载启动的三重物理锚点；其双层路径（如vendor/monolog/monolog）由Packagist包name字段硬编码生成，严格对应composer.json中全小写、无空格、斜杠分隔的"vendor/package"格式。
vendor 目录不是“第三方包存放文件夹”这么简单——它是 Composer 实现依赖隔离、命名空间落地、自动加载启动的三重物理锚点。删了能重建，但动里面任意一个 autoload_*.php 或改错路径，Class not found 立刻出现。
vendor 目录结构为什么是 vendor/monolog/monolog 这种双层？
这个路径完全由 Packagist 上包的 name 字段硬编码生成，比如 monolog/monolog 的 composer.json 里写的是 "name": "monolog/monolog"，Composer 就会严格创建 vendor/monolog/monolog/，中间不能多空格、不能大小写混用、也不能少斜杠。
- 厂商名和包名必须全小写；
Monolog/monolog会导致目录建错，PSR-4 映射失效 - 你手动把
vendor/monolog/monolog改成vendor/monolog/Monolog→ 下次composer update直接覆盖，且autoload_psr4.php仍按原路径查，类加载失败 - 这不是“目录整理”，是命名空间的落地快照：包的
autoload.psr-4配置（如"Monolog\": "src/"）绑定的就是这个路径
autoload.php 是入口，但它自己不干活
vendor/autoload.php 是整个自动加载机制的启动开关，但它只做两件事：注册 spl_autoload_register() 回调，并加载 vendor/composer/autoload_real.php 和具体映射文件（如 autoload_psr4.php）。真正查类名、匹配路径、返回文件路径的，是那些 autoload_*.php 里的硬编码数组。
- 漏引
require __DIR__.'/../vendor/autoload.php';→ 所有 Composer 包类都Class not found - CLI 脚本里写
require './vendor/autoload.php'，但当前工作目录不是项目根目录 → 路径失效，引入失败 - 手改
vendor/autoload.php→ 每次composer install或dump-autoload都会被重写，白干 - 删掉整个
vendor/composer/目录 → 即使所有包代码都在，也会Class not found，因为映射元数据没了
vendor/bin 里的命令为什么有时找不到？
vendor/bin 下的可执行文件（如 phpunit、phpstan）不是 Composer 自动生成的，而是由对应包的 composer.json 中 "bin" 字段显式声明后，Composer 才复制或软链接过来的。
- 装了
phpstan/phpstan，但vendor/bin/phpstan不存在 → 检查它 composer.json 是否含"bin": ["phpstan"]；老版本可能叫"phpstan-shim" -
./vendor/bin/phpunit报Command not found→ Linux/macOS 下可能是权限问题：chmod +x vendor/bin/phpunit - 全局安装的
composer global require laravel/installer，命令在~/.composer/vendor/bin/laravel，和项目级vendor/bin/laravel完全无关，PATH 冲突时谁在前谁生效
为什么不能把 vendor 移到别的目录或改名？
虽然 composer.json 支持 "config": {"vendor-dir": "libs"}，但这不是“配置自由”，而是埋雷开关：
- PHPStorm 默认只索引
vendor/，改路径后跳转、补全全部失效 - PHPStan / Psalm 默认扫描
vendor/，不加额外配置就报“未找到依赖类型” - CI 脚本、Dockerfile、部署脚本几乎全部写死
vendor/autoload.php，改了就得全局搜改 -
vendor/是 Composer 硬编码路径，不是配置项；所谓“可配置”只是让工具链集体失能的快捷方式
最常被忽略的点：vendor 目录里真正不能碰的不是包代码，而是 vendor/composer/ 下那一堆 autoload_*.php 和 installed.json ——它们是 lock 文件与 PSR-4 命名空间之间的唯一翻译官。改了包内代码可以 git stash，但改了这里的映射，连 new GuzzleHttpClient() 都过不去。
