composer validate仅校验json语法、字段名合法性及基础schema结构，如逗号遗漏、中文引号、拼写错误（如requre），但不检查依赖是否存在、autoload路径真实性或php版本兼容性；真正暴露语义问题需用composer install --dry-run --no-interaction。
composer validate 能查出什么问题
它只检查 composer.json 的 JSON 语法、字段合法性、基础结构是否符合 Composer Schema，比如逗号漏写、引号用成中文、字段名拼错（requre）、用了已删除的配置项（minimum-stability）。但它不检查依赖是否存在、autoload 路径是否真实、PHP 版本是否匹配——这些要到 install 或 dump-autoload 阶段才暴露。
为什么 validate 通过了，install 还报错
常见原因有三类：
-
composer.json里写了"require": { "monolog/monolog": "dev-main" }—— validate 不验证包是否存在，install才会报Could not find package -
"autoload": { "psr-4": { "App\": "src/" } }，但项目根目录下根本没有src/目录 —— validate 不校验路径存在性 -
"config": { "platform": { "php": "8.3" } }，而当前 PHP 是 8.1 —— validate 不做运行时兼容性判断
真正能提前暴露语义错误的命令是：composer install --dry-run --no-interaction（Composer 2.5+ 支持），它会走完依赖解析全流程，但不写文件、不下载包。
快速定位 JSON 格式错误的实操方法
别靠肉眼扫全文件。报错提示里的 line 12 at column 5 就是精确坐标，问题一定在那附近：
- 运行
php -r "json_decode(file_get_contents('composer.json')) || die('JSON error: '.json_last_error_msg());"，PHP 8.0+ 会附带偏移量（如offset 123），配合编辑器「显示不可见字符」功能，立刻揪出 BOM、零宽空格（U+200B）、全角符号 - 粘贴内容到 jsonlint.com，高亮标出非法字符，比如末尾逗号、中文引号、全角冒号
- 用
jq '.' composer.json（需先安装jq），失败时直接输出行列号，比composer validate更底层、更敏感
-d 参数和当前路径搞混是最高频翻车点
composer install 查的是当前 shell 的工作目录，不是你“以为”的位置。报错里 Could not find a composer.json file in /xxx 中的路径，就是它实际检查的位置。
- 执行前必做两件事：
pwd看当前在哪，ls -l composer.json确认文件真存在且权限正常（至少-rw-r--r--） - 要用
-d指定目录，必须写成composer -d ./api install，不能是composer install -d ./api（参数顺序错，-d会被当成install的子参数丢弃） -
-d后面跟的必须是含composer.json的目录，不是文件路径；相对路径受当前 shell 位置影响，不是项目根目录下的相对路径
最常被忽略的是：BOM 头、软链接断裂、容器内挂载路径映射错位——这些都不会被 validate 报出来，但会让 install 直接找不到文件。
