应使用php -r命令或jsonlint.com定位：执行php -r "json_decode(file_get_contents('composer.json')) || die('json error: '.json_last_error_msg());"可获错误提示，php 8.0+附带偏移量；粘贴内容至jsonlint.com则精确标出违规行与字符，如末尾逗号、bom头或中文标点。
composer install 报 JSON decode error 怎么定位具体位置
错误信息里通常不带行号，光看 JSON decode error: Syntax error 没法直接改。别靠猜，用 PHP 原生解析器快速暴露真实位置：
- 终端执行：
php -r "json_decode(file_get_contents('composer.json')) || die('JSON error: '.json_last_error_msg());"—— 输出如JSON error: Syntax error表示有非法字符；PHP 8.0+ 会附带更精确的偏移量 - 更准的做法是粘贴内容到 jsonlint.com，它能标出哪一行、哪个字符违规（比如末尾逗号、中文冒号、BOM 头）
- VS Code 打开
composer.json后，右下角确认语言模式是JSON（不是Plain Text），红色波浪线处就是语法破绽点
为什么记事本/网页编辑器保存后必报错
Windows 记事本、WPS、某些 CMS 后台编辑器默认用 UTF-8 BOM 或 GBK 编码保存，而 Composer 要求严格 UTF-8 无 BOM。BOM（EF BB BF）在文件开头不可见，但 json_decode() 一读就崩。
- VS Code 右下角点击编码名 → 选
Save with Encoding→UTF-8（注意不是UTF-8 with BOM） - 禁用所有 JSON 自动格式化插件，尤其
JSON Beautifier类工具——它可能把合法结构重排成非法格式（比如在对象末尾加逗号） - 从网页复制配置时，先粘贴到记事本（清掉隐藏控制符），再转到代码编辑器
composer validate 通过了，install 却失败？检查这些隐性坑
composer validate 只校验 JSON 语法和基础 schema，不验证字段值是否被当前 Composer 版本支持，也不检查 PHP 环境兼容性。
-
"allow-plugins": true在 Composer 2.1 以下版本会被忽略，但 2.2+ 才真正生效；老版本运行时会静默跳过，导致插件未加载而后续报错 -
"repositories"中的url含未编码空格或&（如https://git.example.com/foo?token=abc&ref=main），应改为&或 URL 编码 -
"autoload"的psr-4映射路径末尾多斜杠："App\": "src//"是非法的，必须是"App\": "src/" - 运行
composer validate --strict，它会揪出废弃字段（如已移除的archive）、拼写错误（requre）、缺失推荐字段（description）
vendor/composer/installed.json 报 UnexpectedValueException 怎么办
这个错误往往不是 composer.json 的问题，而是 vendor/composer/installed.json 或 composer.lock 文件损坏，常见于 Windows 中文路径、权限不足或 Unicode 写入异常。
- 不要手动编辑
vendor/composer/installed.json—— 它是 Composer 自动生成的，只读或截断会导致 JSON 不完整 - 先删掉整个
vendor/目录和composer.lock，再跑composer install - 如果反复出问题，检查
composer.json中是否启用了非 ASCII 描述写入：临时加配置"config": { "sort-packages": true }，减少中文乱码触发概率 - 用
python3 -m json.tool vendor/composer/installed.json > /dev/null验证该文件本身是否合法，报错就说明已损坏
最常被忽略的是：BOM 头和零宽空格这类不可见字符，它们不会在编辑器里显示，但会让 json_decode() 直接返回 JSON_ERROR_SYNTAX。每次改完 composer.json，用 jq '.' composer.json 过一遍，比等 CI 构建失败再排查快得多。
