Composer管理依赖核心是“声明+锁定+加载”三步闭环：用composer.json声明、composer.lock锁定版本、vendor/autoload.php自动加载；缺一即导致类找不到或上线报错。
直接说结论：Composer 管理依赖不是“装完就完事”，核心在于 composer.json 声明、composer.lock 锁定、vendor/autoload.php 加载这三步闭环；跳过任意一环，轻则类找不到，重则上线后报错。
composer install 报 “Could not find a composer.json file” 怎么办
这个错误说明当前目录根本没有 composer.json，不是路径错了，是真没建。Composer 不会自动创建配置文件，必须先有它才能干活。
- 别直接跑
composer install—— 先确认你在项目根目录，且该目录下存在composer.json - 新手可用
composer init交互生成，但容易漏掉autoload字段，建议手写更稳；最小可用配置至少含name和require字段 - Windows 用户安装完 Composer 后需重启终端才生效；Linux/macOS 若提示
command not found，优先检查 PATH，或改用php composer.phar --version验证
require 与 require-dev 的区别不是“开发用/生产用”这么简单
真正决定一个包会不会出现在线上环境的，是部署时是否加了 --no-dev 参数，而这个参数是否启用，取决于你把它写进哪个字段。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
require里的包（如guzzlehttp/guzzle、spatie/laravel-permission）参与运行时逻辑，必须无条件进生产环境 -
require-dev里的包（如phpunit/phpunit、larastan/larastan）只在本地测试、静态分析等场景用，composer install --no-dev会彻底跳过它们 - 误把运行时依赖放进
require-dev，上线后就会报Class not found—— 因为use或new调用了它，但它根本没被安装
composer require 后类还是找不到？别急着删 vendor
composer require 只负责下载包并更新 composer.json 和 composer.lock，它不自动刷新自动加载映射。Laravel 或其他框架找不到新类，大概率是这一步卡住了。
- 先执行
composer dump-autoload强制重建类映射，尤其当你添加了自定义命名空间或本地包时 - 检查该包自己的
composer.json是否声明了autoload（比如"psr-4": {"GuzzleHttp\": "src/"}），否则 Composer 根本不知道从哪加载 - Laravel 中某些包还需手动注册：比如服务提供者要加到
config/app.php的providers数组，门面要加到aliases；5.5+ 的自动发现功能只对未被extra.laravel.dont-discover屏蔽的包生效
更新依赖时为什么不能随便 run composer update
composer update 是全量重解析依赖树，会无视 composer.lock 里锁定的版本，直接按 composer.json 的约束拉最新兼容版 —— 这在 CI/CD 或生产环境等于主动引入不确定性。
- 日常开发中，优先用
composer update vendor/package-name指定更新单个包，避免连带升级一堆间接依赖 - 升级前务必查 Packagist 页面，确认目标包是否支持你当前的 PHP 版本和 Laravel 版本（例如 Laravel 10 要求 PHP ≥8.1，而老包可能只到 7.4）
- 升级后别忘了清缓存：
php artisan config:clear && php artisan cache:clear，有些包在启动时会缓存配置或路由规则
最常被忽略的一点：composer.lock 必须提交到 Git，vendor/ 必须忽略；CI 环境失败往往不是因为网络或权限，而是本地 PHP 版本比服务器高，composer.lock 却没暴露这个差异。
