Composer实战演练：从零开始构建现代化PHP应用

用 Composer 启动一个 PHP 新项目时，很多人会纠结：到底该用 create-project 还是 init？其实选哪个，取决于你是想“搭个房子住进去”，还是“自己选材料盖个工具棚”。

先说结论：如果你要的是 Lara vel、ThinkPHP、Symfony 这类有标准骨架的应用框架，直接走 composer create-project 就对了。它不只是下载代码，还会自动把依赖装好、把自动加载文件生成出来、甚至帮你跑完框架预置的初始化脚本——比如生成 key、配环境文件。这一切是一次性完成的，开箱可用。

很多新手习惯先 git clone 一个框架仓库，再手动跑 composer install，结果往往因为缺 composer.lock 或者平台扩展没声明而报错。正确的做法是：

• 始终优先使用 composer create-project vendor/name project-dir [version]，例如 composer create-project topthink/think tp8
• 加上 --prefer-dist 参数，跳过源码克隆直接下载压缩包，速度更快、网络更稳定
• 如果项目对 PHP 版本或扩展有硬要求（比如 ext-pdo_mysql），create-project 会在安装前校验并明确提示错误，而 init + require 的组合往往拖到运行时才暴露问题

什么情况下该用 init？从空目录定义“可复用包”

composer init 的价值不在于“新建一个应用”，而在于定义一个可发布、可复用的 PHP 包。它生成的 composer.json 是 Packagist 上所有 PHP 包的元数据基础。

典型的适用场景：你要写一个通用的图片处理工具类、一个 CLI 小脚本、或者一个供其他项目 require 的私有组件。这时候 init 是正解。

有几个容易被忽略的细节：

• 交互式提问中，type 字段要填 library 而非 project，这会影响后续的打包和安装行为
• 别跳过 autoload 配置——哪怕只写一条 "psr-4": {"MyLib\\": "src/"}，否则别人 require 你的包时，类根本不会被加载
• 如果手里有旧代码，别一股脑塞进 src/ 再配 PSR-4。更稳妥的做法是先用 "files": ["helpers.php"] 把全局函数加载进来，再逐步迁移到命名空间下

require 和 install：关键区别在哪？

composer require 修改 composer.json 并立即安装包；而 composer install 只读取 composer.lock 中的锁定版本进行安装。这是保证开发、测试、生产环境一致的核心机制，但很多人在 CI/CD 或部署时还是会搞混。

典型翻车场景：本地开发时用 require 装了新包，但 Git 提交时忘了把 composer.lock 也交上去。线上跑 install，拉到的要么是旧版本，要么直接冲突报错。

值得养成的好习惯：

• 应用项目必须提交 composer.lock，CI 流水线应严格使用 composer install --no-dev（生产环境不装 dev 依赖）
• 用 composer require --dev phpunit/phpunit 才会把依赖写进 require-dev，直接 require phpunit/phpunit 会进 require，导致生产环境也装上了测试框架
• 如果想临时试一个包又不想污染 composer.json，可以用 composer global require，但仅限于 CLI 工具类（如 phpstan/phpstan），别用于项目依赖

autoload 配置写错了，三类隐蔽坑

PSR-4 映射路径不对，vendor/autoload.php 就不会加载你的类。但问题是这种错误往往不抛致命异常，而是静默失败，直到你调用某个方法时才突然蹦出 Class not found——排查起来很头疼。

最容易踩坑的是路径分隔符和命名空间末尾的反斜杠：

• "App\\": "app/" —— 正确。命名空间以双反斜杠结尾，路径是相对 vendor 目录的子目录
• "App": "app/" —— 错误。单反斜杠在 JSON 中会被转义，实际变成 "App"（无尾部反斜杠），自动加载器无法匹配
• "App\\": "./app/" —— 错误。. 在 autoload 路径中无效，Composer 只认相对于项目根目录的路径，不支持相对定位符

改完 autoload 后必须运行 composer dump-autoload，否则变更不生效。加 -o 参数可以生成优化后的类映射，提升加载速度。

真正卡住人的从来不是记不住命令，而是 composer.json 里一行路径写错、一个反斜杠少打、或者 composer.lock 没提交。这些细节在本地可能一切正常，一上服务器就出问题。记住一句话：版本锁定是异地重构的信仰，自动加载是类加载的生命线。