composer fund 命令仅静态读取 composer.json 中的 funding 字段，不记录、不统计、不追踪真实捐赠，也不对接任何赞助平台 api；它无法反映实际资金流、企业级赞助或基金会拨款，更不验证链接有效性。
composer fund 命令根本不是财务工具
它不记录、不统计、不追踪任何实际捐赠，也不对接 GitHub Sponsors 或 Open Collective 的 API。所谓“财务透明度实践”，是误把一个静态元数据展示功能当成了资金流水看板。它只读 vendor/ 下每个包的 composer.json 里硬编码的 funding 字段，连链接是否 404 都不验证——更别说审计资金去向。
大型框架（如 Laravel、Symfony）为什么很少靠 fund 命令体现财务状况
因为它们的真实资助渠道压根不依赖这个字段：
- Laravel 官方赞助计划走
https://laravel.com/sponsors，由官网后端统一管理，funding字段只挂了个跳转链接，和实际收款系统完全隔离 - Symfony 使用
symfony.com/sponsor页面 + Stripe 支付网关，composer fund输出的只是前端入口，不反映企业级赞助协议、年度合同或基金会拨款 - 真正的大额资助（比如企业冠名支持、基金会专项拨款）根本不会写进
composer.json，而是通过私有沟通或法律协议达成
想用 fund 命令做财务分析？你会立刻掉进三个坑
常见误判场景：
-
composer fund只扫描require里的包，默认忽略require-dev——但像phpunit/phpunit这类高维护成本工具包，其funding字段往往只在开发依赖里，漏掉就等于漏掉关键维护者 - 同一个包多个版本可能有不同
funding状态：你composer show symfony/console看到的是 v6.4，但 v7.0 才加了funding字段，旧版安装后composer fund就永远不显示 -
type字段纯属装饰：写"type": "github"和"type": "custom"对命令输出无影响，但前者容易让人误以为“已接入 GitHub 官方 Sponsor 体系”，实际可能只是个个人 PayPal 链接
真要提升财务透明度，该盯什么而不是 fund 命令
对维护者而言，funding 字段只是门脸；对使用者而言，别信命令输出，直接查源头：
- 进
vendor/{vendor}/{package}/composer.json手动确认funding是否存在、URL 是否完整 HTTPS - 访问该包 GitHub 仓库主页，点右上角 Sponsor 按钮——它由 GitHub 仓库设置驱动，比
composer.json更实时 - 查 Packagist 页面（如
packagist.org/packages/monolog/monolog），点 “Source” 跳转到源码，再看最新 tag 的composer.json
最常被忽略的一点：所有这些链接都只是“入口”，背后有没有财务报告、年度审计、资金分配说明，composer fund 一个字都不会告诉你。
