Composer本身不管理非PHP资源文件，post-install-cmd是唯一可靠拷贝资源的钩子，因它在vendor解压完成后执行，确保dist/路径存在；而asset-packagist.org和npm-asset方案截至2026年6月已不可靠，多因服务关停、校验失败或PHP8.2+兼容问题失效。
Composer 本身不管理非 PHP 资源文件，composer/installers 插件只是按约定移动包目录，它不会下载、构建、校验或解决 JS/CSS 兼容性问题——你看到的“自动安装成功”，往往只是 ZIP 解压完成，而 dist/ 目录可能根本不存在。
post-install-cmd 是唯一能可靠拷贝资源的钩子
这个脚本在 vendor/ 内容已完整解压后执行，确保你要操作的路径（比如 vendor/twbs/bootstrap/dist/）真实存在。
- 别用
post-autoload-dump：它只在自动加载器重建时触发，此时包可能还没下载完，cp会因源路径不存在直接失败 - Linux/macOS 用
cp -r，Windows CI 必须改用xcopy或启用 WSL，否则构建中断 - 所有路径判断必须加
[ -d "path" ]，例如if [ -d 'vendor/twbs/bootstrap/dist' ]; then cp -r ...; fi，否则某个包没提供dist/，整个composer install就退出 - 避免写
rm -rf public/vendor类命令，容易误删你自己维护的静态资源
composer/installers 的 installer-paths 配置陷阱
这个字段不是“智能搬运工”，它只对声明了特定 type 的包生效，且路径规则极易写错。
-
"public/assets/{$name}/"中的{$name}解析的是完整包名（如twbs/bootstrap），不是短名bootstrap - 路径值必须以
/结尾，写成"public/assets"会导致整个vendor/被挪过去 - 键名必须是完整包名或
type:xxx形式，例如"twbs/bootstrap"或"type:npm-asset"，不能写"bootstrap" - 目标包自身
composer.json必须声明"type": "npm-asset"或"type": "component"，且需显式require composer/installers，否则插件不触发
为什么 asset-packagist.org 和 npm-asset 包都不该用
截至 2026 年 6 月，这些方案在生产环境已不可靠。
立即学习“PHP免费学习笔记（深入）”；
-
https://asset-packagist.org长期无更新，大量包返回 404，且不支持 Composer 2.2+ 的安全协议校验，每次composer install都多一次失败网络请求，CI 构建超时概率陡增 -
npm-asset/bootstrap这类包版本映射混乱（如 npm 的5.3.3可能变成5.3.3.0），上游删 tag 或改结构后，composer update拉回的包可能连dist/目录都没有 -
fxp/composer-asset-plugin在 PHP 8.2+ 下直接报Class "Fxp\Composer\AssetPlugin\Repository\NpmRepository" not found - 所有这类包都不含构建步骤，不会执行
npm run build，也不会处理 SASS 编译、ESM 转换等前端必需流程
真正容易被忽略的点是：你写的每一条 post-install-cmd 或 installer-paths 规则，都隐含了一个前提——那个包的发布版 ZIP 文件里，刚好包含了你要的 dist/ 或 build/ 目录。而这个前提，在绝大多数原生前端库的官方发布中并不成立。
