composer validate是唯一能直接校验composer.json语法和结构的官方命令，但默认仅做基础JSON解析与字段名检查，不验证依赖有效性；报错如“line 12 at column 5”为精确位置，常见原因包括末尾逗号、单引号、全角符号、BOM头等；加--strict才启用schema语义校验，CI中须组合--strict --no-check-publish --lock并辅以install --dry-run验证依赖可行性。
composer validate 是唯一能直接校验 composer.json 语法和结构的官方命令，但它默认只做最基础的 JSON 解析 + 字段名检查。通过了 ≠ 能装上，失败了也不代表文件完全不可用——多数报错就藏在第 12 行第 5 列这种精确位置，不是模糊提示。
报 JSON parse error 怎么快速定位到具体字符
错误信息里写的 line 12 at column 5 就是真实出错点，不是示意。问题一定就在那一列附近，别重写整个文件。
- 打开编辑器跳转过去，重点查：末尾多出的逗号（尤其在
"require"、"autoload"对象最后一项后） - 单引号代替双引号（
'name': 'myorg/myapp'❌，必须是"name": "myorg/myapp"） - 从网页复制来的全角标点（中文
，或：）、零宽空格（U+200B） -
//或/* */注释（JSON 标准不支持） - 文件编码带 BOM 头（Windows 记事本易中招），右下角确认是纯 UTF-8
更快验证纯 JSON 合法性：php -r "$j = file_get_contents('composer.json'); $d = json_decode($j); if (!$d) { echo json_last_error_msg().\"\n\"; }"，报错比 composer validate 更直白。
为什么必须加 --strict 才算真正校验
--strict 不是让 JSON 解析更严，而是把原本只警告的 schema 问题升级为硬性错误，CI 中不加等于白跑。
-
"autoloader": {}→ 拼错字段名，应为"autoload"，默认不拦，--strict直接失败 -
"type": "libary"→ 拼错且值非法，--strict才报错 -
"license": "MIT License"→ 非 SPDX 标准值，--strict才拦截 -
"minimum-stability": "dev-master"→ 已弃用写法，--strict才拒绝
CI 脚本必须用：composer validate --strict --no-check-publish。--no-check-publish 跳过 Packagist 发布检查，防网络超时中断流程。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
validate 通过了，install 却失败？这是设计使然
composer validate 完全不联网、不查 Packagist、不运行依赖求解器。它只管字符串写得对不对，不管说的包存不存在、版本能不能解、PHP 版本匹不匹配。
-
"monolog/monolog": "999.0.0"→validate通过，install报Could not find package -
"php": ">= 8.1"→ 带空格会通过validate，但install报Invalid version constraint -
"repositories": [{"type": "gitlab", "url": ""}]→type值非法（应为vcs），validate完全沉默，install --dry-run才中断 -
"autoload": {"psr-4": {"App\": "src//"} }→ 末尾双斜杠路径，validate不检查，dump-autoload -v才提示目录不存在
真正暴露依赖可行性的是 composer install --dry-run，它模拟完整安装流程，不写 vendor、不改缓存，CI 中必须补上这步。
怎么校验 composer.lock 是否与 composer.json 一致
composer validate 默认不检查 composer.lock，想校验锁文件是否由当前 composer.json 生成，必须显式加 --lock。
-
composer validate --lock：检查 lock 文件是否存在、是否可解析、是否与当前composer.json的哈希匹配 - 若手动修改过
composer.lock（比如删包、改版本），该命令会立刻报错 - CI 中建议和
--strict组合使用：composer validate --strict --no-check-publish --lock - 注意：该命令仍不校验包内容或 PHP 兼容性，只是确保锁文件未被篡改或脱节
复杂点在于：validate 和 --dry-run 各司其职，但容易被当成同一层检查；很多人卡在“明明 validate 过了却 install 失败”，其实是没意识到它根本不碰依赖逻辑——那部分得靠 --dry-run 去走一遍求解器。
