composer validate 仅能捕获 name 格式错误、type 值不在白名单、autoload 子键名错误（如 psr4）、require 包名多余空格等硬性约束拼写问题，无法发现字段名拼错（如 versoin）或包名错误（如 phpunt）。
composer validate 会报哪些拼写错误
composer validate 是最直接的检查命令，但它默认只校验 JSON 格式和基本 schema 结构，比如 name 缺少 vendor 名、version 写成 versoin 这类字段名拼错，它**不会报错**——因为 Composer 的 schema 允许自定义字段，拼错的键名会被静默忽略。
真正能被 composer validate 捕获的拼写问题，集中在几个硬性约束字段上：
-
name字段格式错误（如漏掉/、含非法字符） -
type值不在官方白名单内（比如写成libary而非library） -
autoload/autoload-dev下的子键名错误（如把psr-4写成psr4或psr_4） -
require或require-dev中包名含多余空格（如"monolog/monolog ": "^2.0"）
为什么 composer install 不报拼写错但装不上包
当你把 "phpunit/phpunit": "^9.9" 误写成 "phpunit/phpunt": "^9.9"，composer install 仍会成功执行（只要 composer.json 语法合法），但它实际不会安装任何东西——因为那个包名根本不存在，Composer 会跳过该条目，也不提示警告。
这种“静默失败”比报错更危险。排查时容易误以为是网络或镜像问题。真正暴露问题的时刻通常是：class not found 或 Class PHPUnit\Framework\TestCase not found。
所以不能依赖 install 或 update 来发现拼写错误，它们只验证包名是否存在，不校验你写的是否是你想写的。
用 composer show -p 验证 require 里的包名是否真实存在
composer show -p 列出 Packagist 上所有已知包名，配合 grep 可快速核对 require 里的每个条目：
cat composer.json | jq -r '.require | keys[]' | while read pkg; do
if ! composer show -p "$pkg" >/dev/null 2>&1; then
echo "⚠️ 包名疑似拼错: $pkg"
fi
done
注意几点：
-
composer show -p查询的是 Packagist 公共索引，私有仓库包需额外配置或改用composer depends反查 - 某些合法包名可能尚未被索引（如刚提交的新包），建议加
--no-cache避免本地缓存干扰 - 别忘了检查
require-dev，漏掉测试依赖的拼错同样致命
vscode + composer.json schema 能实时标红拼写错
VS Code 安装 Red Hat YAML 插件后，把 composer.json 关联到官方 JSON Schema，就能在编辑时实时标出字段名错误，比如把 autoload 打成 autload，或者把 psr-4 写成 psr4。
手动启用方法：在 composer.json 文件顶部加注释触发 Schema 绑定：
/**
* @schema https://json.schemastore.org/composer
*/
{
"name": "vendor/project",
"type": "project",
"autoload": { ... }
}
这个方式最省力，但依赖 Schema 更新及时性；目前对 composer-plugin-api 等新字段支持略滞后，遇到标红但实际可用的情况，先查 官方 schema 文档 确认。
真正难发现的，是那些“看起来合理但语义错误”的拼写，比如 "minimum-stability": "stabile"（正确是 stable）——它既不被 validate 拦住，也不影响 install，直到你发现 dev 分支的包被意外拉下来。这种得靠人眼+经验，工具帮不上忙。
