Composer install 不校验业务数据，仅处理依赖和autoload；数据校验需自行实现，可用 Respect\Validation 或 phpexperts/datatype-validator 等库，而 composer validate 仅检查 composer.json 合法性。
composer install 时不会自动校验数据，别指望它拦住非法输入
Composer 本身不处理运行时数据校验——它只管包依赖、autoload 和文件结构。你在 composer.json 里写 "minimum-stability": "dev" 或 "require": {"php": ">=8.2"}，这些是约束环境和依赖版本的，不是校验用户提交的表单、API 请求体或配置项内容。
常见误解是：执行 composer install 后，项目就“自带数据校验能力”了。其实它连 $_POST 长什么样都不知道。真正要校验业务数据，得靠你写的 PHP 逻辑或引入的验证库。
用 Respect\Validation 实现声明式校验（推荐轻量项目）
Respect\Validation 是最贴近 Composer 生态的验证方案之一，安装后可立即用函数式风格写规则，不耦合框架：
- 运行
composer require respect/validation安装 - 校验邮箱格式：
v::email()->assert($email)，失败抛Respect\Validation\Exceptions\ValidationException - 组合多个规则：
v::stringType()->length(5, 20)->alnum()->assert($username) - 注意：它默认允许空字符串通过，如需非空，必须显式加
v::notEmpty()
它底层调用 PHP 原生函数（如 ctype_cntrl()、filter_var()），性能开销小，适合 CLI 工具、配置加载器等场景。
用 phpexperts/datatype-validator 做严格类型断言
当你需要区分 '1' 和 1，且不能接受 PHP 的隐式转换时，phpexperts/datatype-validator 更合适：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 安装：
composer require phpexperts/datatype-validator - 严格校验整数：
(new IsAStrictDataType('int'))->validate($input)，传入'123'直接返回 false - 支持嵌套结构校验，比如验证一个数组是否为
array<string int></string> - 错误信息带字段路径，例如
"data.users.0.age: expected int, got string"
它的核心价值不在“能校验”，而在“拒绝模糊”。如果你的项目已启用 declare(strict_types=1)，这个包能帮你把类型契约从函数签名延伸到运行时数据。
别跳过 validate 命令——但它只校验 composer.json 本身
composer validate 看起来像“数据校验”，实则只检查 composer.json 文件的 JSON 结构、字段合法性（如 name 格式、version 是否语义化）、以及 autoload 映射是否可解析。它不会碰你代码里的任何变量或请求参数。
容易被忽略的点：
- 若你手动改过
composer.json，忘记加逗号导致语法错误，composer validate会立刻报错，比等到dump-autoload失败更早发现问题 - CI/CD 中建议加上
composer validate --strict，它会额外检查未声明但实际使用的scripts或废弃字段 - 它不校验
vendor/内容，哪怕vendor/autoload.php被删光，validate仍显示 OK
真正的数据校验永远发生在你自己的代码里，Composer 只负责让那些校验代码能被正确加载和执行。
