composer validate 仅校验 composer.json 的基础 JSON 语法和字段名，不检查版本约束、路径合法性或 Packagist 可用性；加 --strict 才拦截拼写错误和非标准值，--no-check-publish 避免 CI 中网络中断；真正验证依赖可行性的命令是 composer install --dry-run。
composer validate 是唯一能直接校验 composer.json 语法和结构的官方命令，但它默认只做最基础的 JSON 解析 + 字段名检查。通过了 ≠ 能装上，失败了也不代表文件完全不可用——多数报错就藏在第 12 行第 5 列这种精确位置，不是模糊提示。
报 “Parse error on line 12 at column 5” 怎么快速定位问题
错误信息里写的 line 12 at column 5 就是真实出错点，不是示意。问题一定就在那一列附近，别重写整个文件。
- 打开编辑器跳转过去，重点查：末尾多出的逗号（尤其在
"require"、"autoload"对象最后一项后） - 单引号代替双引号（
'name': 'myorg/myapp'❌，必须是"name": "myorg/myapp"） - 从网页复制来的全角标点（中文逗号、冒号或空格）、零宽字符（U+200B）
-
//或/* */注释（JSON 标准不支持） - 文件编码带 BOM 头（Windows 记事本易中招），右下角确认是纯 UTF-8
更快验证纯 JSON 合法性：php -r "$j = file_get_contents('composer.json'); $d = json_decode($j); if (!$d) { echo json_last_error_msg()."
"; }"，报错比 composer validate 更直白。
为什么本地 validate 通过，install 却失败
composer validate 完全不联网、不查 Packagist、不解析版本约束语义——它只认字符串格式，不管逻辑真假。
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
-
"monolog/monolog": "999.0.0"在validate阶段完全合法，install时才报Could not find package -
"php": ">= 8.1 "（末尾空格）会触发Invalid version constraint，但validate默认不校验值内容，除非加--strict -
"type": "gitlab"（应为"vcs"）validate不报错；只有install --dry-run才会因 type 不识别而中断 -
"App\": "src//"（末尾双斜杠）validate不检查路径合法性，直到composer dump-autoload或运行时才爆Invalid PSR-4 mapping
CI 中必须加 --strict 和 --no-check-publish
--strict 不是让 JSON 解析更严，而是把原本只警告的 schema 问题升级为硬性错误，CI 中不加等于白跑。
-
"autoloader": {}→ 拼错字段名，应为"autoload"，默认不拦，--strict直接失败 -
"type": "libary"→ 拼错且值非法，--strict才报错 -
"license": "MIT License"→ 非 SPDX 标准值，--strict才拦截 -
--no-check-publish跳过 Packagist 发布检查（如缺失description、license不合规等），防网络超时中断流程
CI 脚本推荐组合：composer validate --strict --no-check-publish && composer install --dry-run --no-interaction。前者保配置规范，后者保依赖可行性。
composer validate --lock 不是“看看 lock 是否最新”
--lock 不校验 lock 文件是否“最新”，只校验它是否由当前 composer.json 生成——即比对两者 hash 是否一致。
- 手动改了
composer.json却忘了composer update？validate --lock会立刻失败 - 它不关心 lock 里包版本是否过时，也不校验
composer.lock自身语法 - 与
--strict可共存，但目标不同：前者保一致性，后者保完整性
真正暴露依赖冲突和版本兼容性的，永远是 composer install --dry-run，而不是任何 validate 变体。校验只是第一道门，门开了不代表路通了。
