composer不支持多语言统一发布或废弃管理，仅负责php包的安装、锁定与autoload；node.js和python需分别用npm publish、poetry publish等原生工具，跨语言发布与废弃同步须由makefile或github actions等上层工具协调。
Composer 本身不参与多语言混合微服务的统一包发布或生命周期管理——它只管 PHP 包的安装、锁定与 autoload，对 Node.js、Python 或 Go 的构建、版本发布、废弃通知等完全无感知。试图用 Composer 命令驱动全栈发布流程，必然失败。
composer publish 命令不存在，也无法替代 npm publish / poetry publish
很多人在写 CI 脚本时误加 composer publish，结果报错 Command "publish" is not defined。Composer 没有发布命令，也不对接任何仓库 API。它的职责边界非常清晰：
- PHP 包发布必须走 Packagist（公开）或私有 Satis/Nexus（内部），且需手动提交
composer.json并触发索引更新 - Node.js 包必须用
npm publish（配合package.json#publishConfig指向私有 registry） - Python 包必须用
poetry publish或twine upload，依赖pyproject.toml中的repository配置 - 混合服务若共用 Git 仓库，各语言的发布动作必须由上层工具（如 Makefile、GitHub Actions workflow）分步调用，不能委托给 Composer
多语言包的废弃（abandoned）状态无法被 Composer 统一识别
当一个 PHP 包被标记为 "abandoned": "acme/new-auth-sdk"，composer install 在 Packagist 上能显示警告；但同一仓库里的 package.json 或 pyproject.toml 若也声明了废弃，Composer 完全看不见。
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
-
composer audit --abandoned只查 Packagist 元数据，对私有源、npm registry、PyPI 的废弃字段零感知 - Node.js 侧需靠
npm deprecate+ 自定义preinstall脚本拦截；Python 侧靠pip install时检查__deprecated__属性或自定义 PyPI hooks - 真正可行的跨语言废弃同步，是用轻量脚本扫描所有语言的 manifest 文件（
composer.json、package.json、pyproject.toml），统一读取abandoned字段并触发告警或构建失败
CI 中如何安全协调多语言包的版本快照？
关键不是“让 Composer 输出 SBOM”，而是让每种语言用自己的工具生成 SPDX 格式，再聚合校验。Composer 只负责 PHP 那一环。
- PHP：用
spdx-sbom-generator -f composer.lock -o sbom-php.json（基于composer.lock的content-hash和dist.shasum） - Node.js：用
npm sbom --output-format spdx-json > sbom-node.json（npm ≥ 8.12，确保含integrity字段） - Python：用
pipdeptree --freeze | cyclonedx-py -o sbom-python.json（注意 pip ≥ 22.2 才输出哈希） - 聚合时比对各 SBOM 的
creationInfo.created时间戳和documentDescribes是否覆盖全部服务，缺失任一语言即中断发布
最常被忽略的一点：不同语言锁文件的生成时机必须严格对齐。比如 Python 的 poetry.lock 依赖当前 pyproject.toml 和 Python 解释器版本，而 composer.lock 依赖 config.platform.php；若 CI 中先跑 Python 构建再跑 PHP，且中间切换了 PHP 版本，两个锁文件就不再反映同一时刻的依赖快照。
