Composer插件无法共享依赖，但可通过事件钩子、自动加载干预和元数据操作实现跨包协同：在activate()中读取$composer->getPackage()->getRequires()获取已安装包，监听post-autoload-dump等事件触发逻辑，需显式声明自身依赖并避免递归调用。
Composer 插件不能直接“共享依赖”——它不转发或复用其他包的 require 列表，但可以通过事件钩子、自动加载干预和包元数据操作，间接实现跨包的依赖感知与协同行为。
插件如何感知项目中已安装的其他包
插件本身不继承或合并依赖，但它能在 activate() 中访问当前项目的完整依赖图。关键路径是：$composer->getPackage() 返回的是解析后的 CompletePackage，其中 getRequires() 和 getDevRequires() 可读取所有声明的依赖项（包括间接依赖）。
- 注意：
getPackage()拿到的是锁文件（composer.lock）驱动的最终解析结果，不是原始composer.json；若需原始声明，得手动读取根项目composer.json文件 - 常见误判点：插件无法区分某个包是直接 require 还是被 transitive 依赖带入的，除非自己遍历依赖树并比对
composer.lock的packages和packages-dev字段 - 实用场景：你的插件想在检测到
monolog/monolog存在时自动启用日志增强逻辑，就该在这里做isset($requires['monolog/monolog'])判断
通过事件订阅触发跨包协作逻辑
真正实现“共享行为”的核心是监听生命周期事件，而非共享 require。最常用的是 post-autoload-dump 和 post-install-cmd，它们在依赖已落地、自动加载已生成后触发。
- 必须在
activate()中显式注册监听器：$dispatcher->addSubscriber(new MyEventSubscriber())，仅实现EventSubscriberInterface不会自动生效 -
post-autoload-dump是安全时机：此时vendor/autoload.php已重写，所有包的 PSR-4 映射都可用，适合做自动加载补丁或生成共享配置文件 - 避免在
pre-install-cmd中修改$composer->getPackage()—— 此时依赖尚未解析，改了也白改，还可能干扰 SAT 求解器
插件里引用其他包类时的 autoload 风险
插件代码若直接 use 某个扩展包的类（如 Spatie\Permission\PermissionRegistrar），必须确保该类已在自动加载范围内，否则会 Class not found。
- 不要指望“项目装了这个包，插件就能直接用”——插件的
autoload是独立作用域，需显式声明依赖："require": { "spatie/laravel-permission": "^5.0" }，否则 Composer 不会把它拉进插件自己的vendor/ - 更轻量的做法是延迟加载 +
class_exists()守卫：只在确定目标包存在时才尝试实例化其类，避免硬依赖导致插件无法安装 - 路径陷阱：插件的
autoload配置（如psr-4）只管自身源码，不自动包含项目级vendor/下的类；别把vendor/autoload.phpinclude 进来——这会污染 Composer 内部加载器状态
为什么“共享依赖”常被误解为插件功能
很多用户想让插件“自动安装某几个配套包”，比如装完 my/logger-plugin 就顺带装 monolog/monolog 和 phpstan/phpstan。这违背 Composer 设计原则：插件不参与依赖解析，也不修改 require 声明。
- 可行替代方案：插件在
post-install-cmd中检查缺失依赖，然后输出清晰提示，例如$io->writeError('<error>Missing required package: monolog/monolog. Run: composer require monolog/monolog</error>') - 危险操作：用
Process执行composer require命令 —— 可能引发递归调用、锁文件冲突或静默失败，且绕过用户确认流程 - 真正被支持的“共享”只有元数据层面：插件可通过
PluginInterface::activate()修改$composer->getPackage()的extra字段，供其他插件或脚本读取，但这不触发任何安装动作
最容易被忽略的一点：插件的 type: composer-plugin 和 extra.class 必须严格匹配，否则整个机制根本不会启动——连 activate() 都不会被调用，更别说“共享”了。
