composer 不校验上传文件，它仅验证 composer.json 的语法和语义；文件上传校验应使用 symfony/file 或原生 php 的 uploadedfile，配合 mimetypes、maxsize 等约束及 isvalid() 判断。

Composer 本身不处理上传文件的格式与数据校验——它不是 Web 框架，也没有内置表单或文件上传逻辑。你看到的 composer.json 或配置文件里的字段（比如 name、type）是包元信息，和用户上传的图片、PDF、CSV 等完全无关。

上传文件校验该用 Symfony/File 或原生 PHP 的 UploadedFile

如果你在 Symfony 项目里做文件上传，正确路径是用 Symfony\Component\HttpFoundation\File\UploadedFile + File 约束：

• maxSize 控制体积，如 '2M'，超限抛 ConstraintViolation
• mimeTypes 需要 symfony/mime 组件，靠真实文件头识别，不是只看后缀
• extensions 是兜底项，但容易被绕过（比如把 shell.php.jpg 传上来）
• 别漏掉 move_uploaded_file() 前的 $file->isValid() 判断，否则可能拿到 UPLOAD_ERR_NO_FILE 却继续处理

为什么 composer validate 对上传文件毫无作用

composer validate 只读取 composer.json 内容并检查 JSON 语法 + 字段语义，它：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• 不碰任何 $_FILES 数组或临时文件
• 不执行 is_uploaded_file() 或 finfo_open()
• 不会去读你表单里叫 avatar 的那个字段
• 即使你把 upload_max_filesize = 2M 写进 php.ini，composer validate 也完全无视

误以为 Composer 能校验上传文件的典型错误场景

常见混淆点：

• 把 composer.json 中的 "type": "library" 和用户上传的“文件类型”混为一谈
• 看到 composer install 报错 failed to open stream: No such file，就以为是上传校验失败，其实是 autoload 路径写错了
• 在 repositories 里配了私有包源，然后发现下载下来的 zip 解压后少文件，误判成“上传时被截断”，实际是镜像源缓存污染或 dist 包本身损坏

真正要校验上传文件，得靠框架层或手写逻辑：检查 $_FILES['xxx']['error'] === UPLOAD_ERR_OK、用 finfo_file() 看 MIME、比对扩展名与内容是否一致。Composer 在这条链路上，只是安静地管理着你用来写这些校验逻辑的依赖包而已。