Composer利用静态代码审查规避不规范包引入的风险-composer-PHP中文网

唯一安全的安装方式是composer require --dev，因phpstan/phpstan装入require字段会污染生产环境autoloader、引发命名冲突并悄悄引入phpunit；必须确保其位于require-dev下，且vendor/bin/phpstan可执行。

composer利用静态代码审查规避不规范包引入的风险

composer require --dev 是唯一安全的静态分析安装方式

把 phpstan/phpstan 或 psalm/phar 装进 require 字段，等于在生产环境主动加载分析器类和插件——它不提供运行时功能，却会污染 autoloader、触发命名冲突、甚至悄悄拉入 phpunit 这类开发依赖。检查 composer.json：必须出现在 require-dev 下；运行 composer show phpstan/phpstan，输出里应含 dev-master 或版本号后带 -dev 标记。

已误装的补救步骤：

执行 composer remove phpstan/phpstan
再运行 composer require --dev phpstan/phpstan
确认 vendor/bin/phpstan 可执行，且 vendor/autoload.php 不包含其入口类

phpstan.neon 必须显式声明 paths，不能依赖 autoload 配置

PHPStan 默认只扫描 src/ 和 tests/，它完全忽略 composer.json 里的 autoload 或 autoload-dev 设置。如果你的代码在 app/、lib/ 或通过 include_once 动态加载，不配 paths 就等于跳过整块逻辑。

正确写法示例（phpstan.neon）：

parameters:
    level: 7
    paths:
        - app/
        - lib/
        - public/index.php
    autoload_files:
        - vendor/autoload.php

注意：autoload_files 仅用于让 PHPStan 知道哪些文件定义了全局函数或常量，不是运行时加载入口——误把它设成业务代码文件，会导致静态分析阶段就执行副作用。

composer validate --strict 检查的是 schema 合规性，不是 JSON 语法

composer validate --strict 不报 Missing comma before "} 这类语法错误，它只校验字段是否存在、拼写是否正确、类型是否匹配官方 schema。比如把 "type": "library" 写成 "type": "libary"，或漏掉必填字段 authors（注意是复数），都会失败。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

CI 中必须加的参数：

--strict：启用 schema 校验
--no-check-publish：避免因网络或权限问题中断流水线

本地快速验证 JSON 语法，用这行命令更直接：php -r "$j=file_get_contents('composer.json'); json_decode($j) or die(json_last_error_msg());"

静态分析结果要绑定到 CI，否则等于没做

只在本地跑 composer run phpstan 没意义。必须把 phpstan analyse 命令集成进 CI 流程，并设置为失败阻断条件。GitHub Actions 示例片段：

  phpstan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Install dependencies
        run: composer install --no-interaction --no-dev
      - name: Run PHPStan
        run: vendor/bin/phpstan analyse --configuration=phpstan.neon

关键点：