PHP项目中Composer集成静态分析本质是借助Composer安装PHPStan并配置autoload与扫描路径，而非Composer自身执行分析；必须用composer require --dev phpstan/phpstan安装，配置phpstan.neon显式声明paths和level（推荐从5起步），确保autoload映射与paths一致，并通过composer scripts统一调用。
PHP 项目里所谓“Composer 静态分析工具集成”，本质不是 Composer 自己做分析，而是用 Composer 把 PHPStan（或其他工具）装进项目、配好 autoload、拉起扫描路径——它只是个搬运工和调度员。
phpstan require --dev 是唯一安全的安装方式
直接 composer require phpstan/phpstan 会把它写进 require 字段，导致生产环境也加载它的 autoloader。这可能污染容器、触发命名冲突（比如你项目里也有 Static 类）、甚至意外引入 phpunit 依赖。
- 必须用
composer require --dev phpstan/phpstan - 检查
composer.json：确认phpstan/phpstan出现在require-dev下，而非require - 已误装？先
composer remove phpstan/phpstan，再重装；composer show phpstan/phpstan输出应含dev-master或类似标记，不能是 “required package”
phpstan.neon 必须显式声明 paths 和 level
PHPStan 不读 composer.json 的 autoload 映射来猜路径，也不会自动扫描 src/。它根本不知道你的类在哪，除非你明说。
-
paths要列全含 PHP 类的目录：- app（Laravel）、- src、- database、- routes；纯函数文件如src/helpers.php得单独加进autoload_files -
autoload.psr-4必须真实覆盖这些目录，否则反射时App\User找不到app/Models/User.php - 路径别带多余斜杠（
"src//"）或环境变量（"${SRC_DIR}/"），vendor/autoload.php没生成（composer install或composer dump-autoload -o没跑）也会让映射失效
level 设置要从 5 开始，别一上来就设 9
level 不是开关，是渐进式校验强度。设成 level: 9 却满项目都是 array、mixed、没返回类型声明的函数，它会在解析阶段卡住，或报一堆 Unknown type 直接退出。
立即学习“PHP免费学习笔记（深入）”；
- 从
level: 5启动：能捕获未定义属性、方法调用错误、空值解引用等硬伤，对大多数项目足够实用 - 修复完
level: 5所有报错后，再试level: 7；最后才考虑level: 9（要求全类型声明） - 别把
vendor/或tests/fixtures/加进paths——前者内存溢出，后者若没配autoload-dev就触发Class not found
composer scripts 是日常使用的最小闭环
把 phpstan analyse 命令塞进 composer.json 的 scripts，不是为了省几个字符，而是为了统一入口、避免手输路径出错、方便 CI 集成。
- 加一条：
"analyse": "phpstan analyse"，之后直接composer analyse - 路径可固化在配置里，不用每次敲
vendor/bin/phpstan analyse src/ - CI 流程中只需
composer analyse，不依赖本地vendor/bin路径是否一致
最常被忽略的其实是 autoload 映射和 paths 的一致性——PHPStan 不会帮你验证这两者是否对得上，它只按你写的 paths 扫，然后按 autoload 反射类名。差一个斜杠、少一个目录、漏一次 dump-autoload，就全是 Class not found。这不是工具问题，是配置断点。
