Composer 无数据校验功能，composer validate 仅校验 composer.json/composer.lock 结构合法性，composer audit 仅比对 composer.lock 与安全公告库；二者均不校验业务数据或运行时输入。
Composer 本身不提供“数据校验”功能——它没有 validate-data 命令，也不解析运行时传入的 JSON 或表单字段。所谓“Composer 数据校验”，90% 是误把「依赖元数据校验」或「配置文件语法校验」当成业务数据验证。
composer validate 只校验 composer.json 和 composer.lock 的结构
它检查的是你写的配置是否合法，比如：require 字段是不是对象、version 字段有没有写错格式、autoload 的 PSR-4 映射路径是否存在等。
- 运行
composer validate不会读取你的 PHP 代码、不会检查$_POST、也不会校验 API 请求体 - 加
--strict会额外要求name、type、license等字段必须存在，适合发布包前自检 - 若项目用了
config.platform（如"php": "8.2"），validate --strict会校验该版本是否在 Composer 支持范围内，但不会检查你本地 PHP 是否真装了 8.2 - CI 中建议固定用
composer validate --strict --no-interaction，避免因交互中断流程
composer audit 不是数据校验，而是安全漏洞比对
composer audit 的输入源只有一个：composer.lock；输出目标也唯一：FriendsOfPHP 安全公告数据库。它不做任何类型转换、不跑正则、不解析值内容。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 它不会告诉你
"min_length": 8这个配置是否合理，只关心symfony/password-hasherv6.2.0 是否被 CVE-2023-41277 影响 - 私有包、
path类型依赖、fork 包默认被跳过——不是 bug，是设计使然，因为它们不在 FriendsOfPHP 数据库里 - 想让它扫
require-dev，必须显式加--with-dev；否则phpunit/phpunit有高危 RCE 你也收不到告警 - 老版本 Composer（audit 命令也会报错，必须先
composer self-update并启用experimental.audit
真正需要数据校验？别碰 Composer，换专用工具
如果你要校验用户提交的 JSON payload、API query 参数、YAML 配置文件内容，Composer 没有对应能力。这时候该用：
- PHP 层：用
phpexperts/datatype-validator做声明式类型断言，支持IsAStrictDataType和IsAFuzzyDataType两种模式 - Symfony 项目：用
rollerworks/password-strength-validator校验密码强度，或原生Validator组件配合@Assert\NotBlank、@Assert\Length - Hyperf 项目：用
hyperf/validation+CreateUserRequest类做请求级自动验证 - 命令行参数校验：用
symfony/console自带的InputDefinition+->addOption()的mode和default控制
最容易被忽略的一点：所有 Composer 命令都基于 composer.lock 文件快照运行，而这个文件本身可能已过期。哪怕 validate 和 audit 全部通过，只要没执行过 composer install 或 composer update，实际运行环境就和校验结果不一致。
