composer validate 不检查 vendor 路径合法性，它仅校验 composer.json 的 json 语法、字段结构及版本约束格式，不读取 vendor 目录、不验证 autoload 文件路径是否存在，路径相关问题须通过 composer install --dry-run 或 composer dump-autoload -v 暴露。
composer validate 不检查包安装路径是否合法，它根本不读 vendor 目录或关心文件落地位置。 路径合法性是 composer install 或 composer update 运行时才决定的事，验证阶段连 vendor 都没生成。
为什么 composer validate 对 vendor 路径完全无感
composer validate 只解析 composer.json 文本：JSON 语法、字段名、版本约束格式、autoload 键值类型（比如 "psr-4": {"App\": "src/"} 合法，"psr-4": {"App\": ["src/"]} 报错）。它不会：
- 检查
vendor/目录是否存在或可写 - 验证
autoload.files里写的src/helpers.php文件实际存在 - 确认
bin字段指向的脚本路径在安装后能否被正确链接 - 读取
composer.lock或扫描已安装包的结构
真正校验路径相关问题的命令是哪些
路径类错误（如自动加载失败、bin 脚本找不到、符号链接损坏）得靠运行时命令暴露：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer install --dry-run：模拟安装，会检查repositories中 path 类型源的目录是否存在、是否含有效composer.json、name是否匹配 —— 这是发现本地包路径错的最快方式 -
composer dump-autoload -v：加-v会输出每个 autoload 规则扫描的实际路径，如果某条"psr-4": {"App\": "app/"}对应的app/不存在，会明确提示Warning: Directory "app/" does not exist -
composer show --path vendor/name：确认包最终落在哪——对 path 源，返回的是符号链接目标；对 dist 包，返回vendor/vendor/name真实路径；若返回空或报错，说明该包根本没装成功
path 类型仓库路径配置的常见陷阱
本地包路径看似简单，但出错时往往不报“路径非法”，而是静默失败或报“package not found”：
- 相对路径必须相对于项目根目录，
"../my-pkg"合法，"~/my-pkg"或"$HOME/my-pkg"会被忽略 - 本地包目录下必须有
git init且至少一个 commit，否则composer install直接跳过该源 -
repositories必须写在项目级composer.json里，不能写在本地包自己的composer.json中 - 若本地包
composer.json的name是acme/utils，项目中require必须写"acme/utils": "dev-main"，写成"acme/utils": "*"或"dev-master"（而包没这个分支）都会失败
vendor/autoload.php 被篡改也不会触发任何路径校验
vendor/autoload.php 是个固定模板文件，内容就是 require_once __DIR__ . '/composer/autoload_real.php';。即使你手动把它改成 phpinfo();，composer dump-autoload 也完全不管——它只重写 vendor/composer/autoload_*.php 映射文件。所以：
- 路径合法性 ≠ 文件内容安全
- 没有命令能自动发现
vendor/autoload.php被替换，除非你用 git diff 或 CI 中做文件哈希快照比对 - 真正依赖路径的环节是 PHP
require时，错误表现为Class not found或Failed opening required，而非 Composer 命令报错
路径问题永远藏在运行时，不是写完 JSON 就能静态断言的。别指望 validate 告诉你 vendor 能不能写、autoload 路径对不对——它连 vendor 这个词都不会碰。
