PHPStan默认不报错是因为未正确加载代码或类型信息：配置文件名错误、paths未覆盖真实目录、缺少autoload_files、Laravel项目未安装phpstan-laravel等扩展包，且level低于5无法捕获空值解引用等逻辑错误。
PHPStan 能在不运行代码的前提下，发现 strlen([])、return null 却声明 int、空对象调用方法等致命逻辑错误——但前提是它真正在分析你的代码，而不是安静地跳过。
为什么 vendor/bin/phpstan analyse 没报错却等于没检查？
这不是命令写错了，而是 PHPStan 根本没加载到你的代码或类型信息。常见表现：运行后只输出“0 errors”，但你知道 app/Http/Controllers 里明显有 Auth::user()->name 这种可能为 null 的链式调用，却完全不提示。
- 配置文件名不是
phpstan.neon（比如写成phpstan.yaml或.neon），PHPStan 就直接忽略，退回到 level 0 默认扫描 -
paths:没包含你的真实代码目录，例如 Laravel 项目默认只扫src/，而你的控制器在app/，就必须显式加- app/ - 纯函数文件（如
routes/web.php、index.php）无namespace或class，v1.10+ 默认跳过，得靠scanFiles:显式列出 - 没配
autoload_files:，导致vendor/autoload.php没加载，所有 Composer 类都解析失败，Auth::user()直接被当未知符号处理
Laravel 项目不装这三个包，等于白装
只装 phpstan/phpstan，Auth::user() 返回 mixed，User::first() 推不出 User|null，Eloquent 关系属性全标“未定义”。
-
phpstan/phpstan-laravel：提供 Laravel 特有语义推导（Facade、模型查询、容器绑定） -
phpstan/extension-installer：自动加载上面那个包的extension.neon，不装它，Laravel 扩展根本不会注册 -
phpstan/phpstan：主程序，必须和前两者同一版本号（如都用 ^1.10）
一次性装齐：composer require --dev phpstan/phpstan:^1.10 phpstan/phpstan-laravel:^1.10 phpstan/extension-installer。装完跑 ./vendor/bin/phpstan analyse --debug app/Http/Controllers，看到 Loading extension from vendor/phpstan/phpstan-laravel/extension.neon 才算生效。
立即学习“PHP免费学习笔记（深入）”；
level 5 以上才开始抓真正危险的逻辑错误
level 0–4 主要查语法和基础类型，return null 声明 int 这类问题要 level 5 起才触发。但盲目设 level: 8 会因历史代码大量报错而放弃使用。
- 新项目直接设
level: 5或6，覆盖大部分空值解引用、参数类型错位、返回值契约断裂 - 老项目先用
--generate-baseline生成phpstan-baseline.neon，冻结现有问题，后续只报新增错误 - 务必显式声明
phpVersion:，例如phpVersion: 80100（对应 PHP 8.1.0），否则联合类型string|null、#[\Override]属性等会被直接忽略校验
配置写对了，怎么确认它真在工作？
别信输出行数，要验证加载路径和作用域。最简单的三步验证：
- 执行
php -r "var_dump(class_exists('PHPStan\Analyser\NodeScopeResolver'));"，返回bool(true)表示 autoloader 加载成功 - 在
phpstan.neon里故意把level:写错（如level: abc），如果报 YAML 解析错误，说明配置被读到了；如果不报错，说明根本没加载该文件 - 临时在某个控制器里加一行
echo strlen([]);，再运行./vendor/bin/phpstan analyse app/Http/Controllers，必须看到类似Parameter #1 $string of function strlen expects string, array given的报错才算通路打通
最容易被忽略的是：PHPStan 不会告诉你“配置没生效”，它只会沉默地用 level 0 规则扫一遍然后说“0 errors”。你得亲手让它报一次错，才能确认它真正在盯你的逻辑。
