Composer 的 required 字段仅声明依赖，不校验运行时值是否为空；空值校验需在PHP配置、环境变量读取或Shell脚本中手动实现，区分null、空字符串与未定义状态。
Composer 的 required 字段只校验键存在，不校验值是否为空
很多人以为在 composer.json 里写上 "require": {"foo/bar": "^1.0"} 就能“校验依赖是否存在”，其实这只是声明依赖关系，Composer 自身**完全不校验运行时数据是否为空**——它压根没有运行时数据校验机制。所谓“空数据默认值校验”，本质是误把 Composer 当成数据验证工具了。
真正需要校验空值并设默认值的场景，通常出现在：
- 项目配置文件（如
config/app.php）读取env()环境变量时 - 自定义命令解析用户输入参数（
$input->getArgument('name')） - 第三方包暴露的配置数组（如 Laravel 的
config('services.github.token')）
用 env() + ?? 或 ??= 做环境变量空值兜底
Composer 不处理环境变量，但你项目启动时（比如 Laravel、Symfony）常通过 vlucas/phpdotenv 加载 .env。这时校验空值必须手动做：
// .env API_KEY= // PHP 中读取（推荐方式） $apiKey = $_ENV['API_KEY'] ?? 'default-key'; // 空字符串、null、未定义都走默认值
注意：$_ENV['API_KEY'] 是空字符串 ''，不是 null，所以 ?? 有效；但 env('API_KEY')（Laravel 辅助函数）会返回 null，此时 ?? 同样生效。
- 别用
empty()判断后再赋值——它会把'0'、'false'等合法字符串也当空处理 - 如果想区分“未设置”和“设为空字符串”，得用
array_key_exists('API_KEY', $_ENV) -
??=只在变量未定义或为null时赋值，对空字符串无效
在 Composer 脚本中用 shell 判断空值（仅限 CLI 场景）
如果你在 composer.json 的 scripts 里调用 shell 命令，比如 "post-install-cmd": "echo $MY_VAR"，那空值校验得靠 shell：
// composer.json
"scripts": {
"deploy": [
"@php -r "\$v = getenv('DEPLOY_ENV') ?: 'staging'; echo \$v;"",
"bash -c '[[ -z "$CI" ]] && export CI=false; echo $CI'"
]
}
关键点：
- PHP 侧用三元
?:最简捷，getenv()返回false表示未设置，''表示设为空 - shell 侧用
[[ -z "$VAR" ]]判空，但注意$VAR未导出时是空，需提前export - 不要在
scripts里试图用 Composer API 做逻辑判断——它没提供运行时值校验接口
别指望 composer validate 检查你的业务数据
composer validate 只校验 composer.json 格式、字段合法性（比如 name 是否含斜杠、version 是否符合语义化版本），它**完全不读取你的 PHP 配置、环境变量或数据库连接字符串**。
如果你看到类似错误：
PHP Warning: Undefined array key "database.host" in config/database.php on line 20
这说明你在 config/database.php 里直接用了 $config['database']['host']，而没做空值防御。解决方式只有两个：
- 在配置文件里用
$config['database']['host'] ?? '127.0.0.1' - 用专门的配置加载器（如
symfony/config组件）配合ArrayNodeDefinition定义默认值
Composer 在这件事上，只是一个依赖声明和安装工具，不介入你的数据流。所有“空值兜底”都得落在你自己的代码层，且必须明确区分 null、空字符串、未定义这三种状态——它们在不同上下文里含义完全不同。
