Composer 不是 API 治理工具，仅能作为治理组件的依赖管理管道；它管理 PHP 包依赖，无法注册接口、拦截请求或实现生命周期治理，正确用法是发布校验 SDK、CLI 工具或网关插件依赖。
Composer 本身不是 API 治理工具，不能直接构建 API 全生命周期治理组件。它管理的是 PHP 代码包依赖，而非 HTTP 接口资产。想用 Composer 做 API 治理，属于方向性错配——就像拿螺丝刀当血压计用。
为什么 composer require api-governance 不起作用
常见错误现象：Could not find package api-governance 或安装后无任何 API 管理能力。因为：
- 没有名为
api-governance的通用 Composer 包——API 治理必须绑定具体技术栈（如 Spring Cloud Gateway、Kong、Apigee）或企业已有网关系统 - Composer 安装的是 PHP 类库，不是运行时服务。它无法注册接口、拦截请求、生成调用日志、识别影子 API
- 即使封装了“API 规范校验”类库（如基于 OpenAPI 3.0 的 validator），也只解决文档一致性，不触达流量、权限、生命周期等核心治理环节
Composer 在 API 治理中唯一可行的定位：支撑治理组件的 PHP SDK 或 CLI 工具
真正能落地的结合点，是把 Composer 当作“治理能力的交付管道”，而非治理主体：
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 发布企业内部的
company/api-spec-validator包，提供validateOpenApi3()函数，供 CI 中校验 Swagger YAML 是否符合公司规范 - 提供
company/api-audit-cli，封装对内部 API 目录服务（如基于 Snipe-IT 改造的 API 资产库）的读写能力，通过php vendor/bin/api-audit --env=prod触发扫描 - 为网关插件（如 Kong 的 custom plugin）打包 PHP 逻辑部分，用 Composer 管理其依赖（
ext-curl、firebase/php-jwt），但插件本身需部署到 Kong Worker 进程中 - 禁止在
autoload-dev中引入生产环境无需的治理工具（如 Swagger UI），CI 中必须加--no-dev参数避免污染
误用 path 仓库试图“本地改 API 治理逻辑”的典型翻车点
有人把 API 治理后台代码 clone 到本地，然后在项目里配置 "type": "path", "url": "../internal-api-governance" ——这会导致：
- composer.lock 中记录的是本地路径，CI 构建失败（路径不存在）
- 自动加载映射失效：若治理包的
autoload.psr-4声明为"ApiGov\": "src/"，而你把它软链接进 vendor，PHP 实际加载路径与命名空间不匹配 - 版本失控：绕过 Git Tag，
dev-main提交后没人知道哪个 commit 对应线上策略规则 - 安全漏洞：本地修改未经过 SAST 扫描和依赖审计，直接混入生产镜像
真正的 API 全生命周期治理必须由专用系统承担——比如 RayAPI 做流量发现与基线建模，Satis 镜像托管治理 SDK 的 PHP 依赖，而 Composer 只负责把 SDK 可靠、可重复地装进那个系统的构建环境中。别让它干调度器、网关、审计中心的活。
