不能在web目录下直接运行composer install，因为drupal项目结构要求依赖安装在项目根目录（含composer.json和composer.lock），而非web/子目录；误入web/执行会导致vendor/创建位置错误，引发自动加载失败、drush不可用、核心更新中断等问题。
直接执行 composer install 很可能破坏 Drupal 站点的可部署性和安全性，必须配合 composer.lock 文件、权限控制与环境校验才可安全运行。
为什么不能在 web 目录下直接运行 composer install
Drupal 项目结构要求依赖安装在项目根目录（含 composer.json 和 composer.lock），而非 web/ 子目录。若误入 web/ 执行，Composer 会尝试在错误位置创建 vendor/，导致自动加载失败、Drush 不可用、核心更新中断。常见现象是 PHP 报错：Class 'Drupal\Core\DrupalKernel' not found 或 Drush 命令提示 Command "status" is not defined.。
实操建议：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 始终在项目根目录（即含
composer.json、web/、vendor/的同级目录）下执行composer install - 用
pwd或ls -la composer.json web/快速确认当前路径是否正确 - DDEV 用户应使用
ddev composer install，它自动确保容器内路径和用户权限正确
composer install 必须依赖 composer.lock 文件
composer install 的核心语义是“按 composer.lock 精确还原依赖”，不是“按 composer.json 解析最新兼容版本”。跳过 lock 文件或误用 composer update 替代，会导致开发、测试、生产环境依赖不一致，引发隐性 bug 或安全漏洞（例如某模块补丁未被锁定，上线后回退到含 CVE 的旧版）。
实操建议：
- 检查是否存在
composer.lock：运行ls -l composer.lock，若缺失，不应执行composer install，而应先由负责人运行composer update并提交新 lock 文件 - 禁止在 CI/CD 或生产部署脚本中使用
--ignore-platform-reqs或--no-dev以外的 flag，尤其避免--force-install - Git 提交时必须包含
composer.lock，且其内容需与composer.json的require段严格对应
执行前必须校验 PHP 版本与扩展兼容性
Drupal 10 要求 PHP 8.1+，但 Composer 自身也对 PHP 版本敏感。若系统 PHP 版本低于 composer.json 中声明的 config.platform.php（如设为 "8.2"），composer install 可能静默降级依赖，或在后期运行时报 PHP Deprecated: Return type of ... must be compatible 类错误。
实操建议：
- 运行
php -v确认 CLI 使用的 PHP 版本，再比对composer.json中config.platform.php字段（如有） - 检查必需扩展是否启用：
php -m | grep -E 'mbstring|xml|json|gd|curl'，缺一则composer install可能成功但 Drupal 启动失败 - WSL2 或 macOS 用户注意：系统自带 PHP 常版本过低，应通过
brew install php或apt install php8.2-cli显式安装并软链到/usr/bin/php
执行后必须验证写入权限与文件归属
Composer 安装过程会写入 vendor/、生成 autoload_classmap.php 等文件。若 Web 服务器用户（如 www-data 或 _www）无权读取这些文件，页面将 500；若 web/sites/default/files 不可写，上传、缓存、配置导入等功能立即失效。
实操建议：
- 执行完
composer install后，立即运行：sudo chown -R $USER:www-data web/sites/default/files vendor/（Linux）或sudo chown -R $(whoami):_www web/sites/default/files vendor/（macOS） - 设置最小必要权限：
find web/sites/default/files -type d -exec chmod 775 {} \;，find web/sites/default/files -type f -exec chmod 664 {} \; - 不要用
chmod 777—— 这是 Drupal 安全审计第一项拒绝项
最易被忽略的是：每次 composer install 后，vendor/autoload.php 的路径是否被 Drupal 自动加载机制识别。如果站点突然白屏且日志里只有 PHP Fatal error: Uncaught Error: Class 'Composer\Autoload\ClassLoader' not found，大概率是 vendor/ 被移动过或 index.php 中的 require_once 路径硬编码错了——这问题不会报在 Composer 阶段，只在首次请求时爆发。
