PHP使用Composer管理依赖的核心是“声明+锁定+加载”三步闭环：用composer.json声明依赖，靠composer.lock锁定具体版本，再通过vendor/autoload.php自动加载类；初始化用composer init或手动创建composer.json，安装用composer install（读lock文件），添加依赖用composer require，更新用composer update（慎用全量），区分require与require-dev，配置PSR-4 autoload提升性能。
PHP 使用 Composer 管理第三方依赖包，核心是“声明+锁定+加载”三步闭环：用 composer.json 声明需要什么，靠 composer.lock 锁定具体版本，再通过 vendor/autoload.php 自动加载类。不手动下载、不硬编码路径，所有依赖统一托管、版本可控、环境一致。
初始化项目并声明依赖
首次使用时，在项目根目录运行：
-
composer init—— 交互式生成composer.json，填入项目名、描述、PHP 版本要求等 - 或直接创建
composer.json文件，至少包含"require"字段，例如：
{ "require": { "monolog/monolog": "^3.0", "guzzlehttp/guzzle": "^7.5" } } - 切勿手动编辑后直接
composer install—— 容易因语法错误（如逗号遗漏、引号不闭合）或版本约束写错（如误用"1.2.*"而非"^1.2"）导致解析失败
安全安装与精确更新依赖
区分两个关键命令的用途：
-
composer install—— 读取已存在的composer.lock，安装其中记录的**完全一致的版本**。适用于新环境搭建、CI/CD 部署、团队协作。必须确保composer.lock已提交到 Git，否则无法保证一致性 -
composer require vendor/package-name—— 推荐的添加方式。它自动把依赖写入composer.json的require或require-dev，同时更新composer.lock并下载包。例如：composer require phpunit/phpunit:^10.0 --dev（加--dev确保进require-dev） -
composer update vendor/package-name—— 只更新指定包及其子依赖，避免连带升级其他包引发意外兼容问题；全量composer update应谨慎使用，仅在明确需升级且已审查变更时执行
正确区分运行时与开发期依赖
依赖类型决定部署体积与安全性：
立即学习“PHP免费学习笔记（深入）”；
-
"require"：项目运行必需的库，如doctrine/dbal、symfony/http-foundation。生产环境必须安装 -
"require-dev"：仅开发阶段需要的工具，如phpunit/phpunit、friendsofphp/php-cs-fixer、roave/security-advisories。上线部署时务必加--no-dev参数跳过安装 - 常见错误：把调试工具（如
symfony/var-dumper）误放require，导致生产环境多装几十 MB 无用代码，甚至暴露敏感信息
配置自动加载并优化性能
让自己的类也能被自动加载，且加载更快：
- 在
composer.json中配置 PSR-4 映射，路径必须是相对项目根目录，结尾带斜杠：
{ "autoload": { "psr-4": { "App\": "src/" } } } - 测试类单独配
autoload-dev，避免生产环境扫描测试文件：
{ "autoload-dev": { "psr-4": { "App\Tests\": "tests/" } } } - 生成优化后的自动加载映射：
composer dump-autoload --optimize（开发时可加"optimize-autoloader": true到 config）composer dump-autoload --classmap-authoritative（要求所有类都已收录，加载最快但需严格管理）
