必须同步更新 composer.lock 并配置 autoload，否则 composer install 会失败；手动添加依赖需严格遵循 JSON 格式、版本约束和仓库声明规则，并执行相应命令生效。
可以直接编辑 composer.json 文件手动添加依赖，但必须同步处理版本约束、自动加载和锁文件，否则 composer install 会失败或行为异常。
手动修改 composer.json 的正确写法
在 "require" 或 "require-dev" 对象里添加键值对，键是包名，值是版本约束字符串。注意逗号分隔和 JSON 格式有效性：
{
"require": {
"monolog/monolog": "^2.10",
"php": ">=8.1"
}
}
常见错误包括：
- 漏掉末尾逗号（导致 JSON 解析失败）
- 用单引号代替双引号（JSON 不支持单引号）
- 版本写成
"dev-main"却没启用"minimum-stability": "dev" - 包名拼错，比如写成
"monolog/monologg"
为什么不能只改 composer.json 就运行 composer install
composer install 默认读取 composer.lock 安装精确版本；如果新增了 composer.json 里的依赖但 composer.lock 没更新，Composer 会忽略它。
必须执行以下之一：
-
composer update monolog/monolog（只更新该包及其依赖） -
composer update --lock（仅重生成 lock 文件，不下载包） -
composer install --no-lock（跳过 lock 文件，按 json 重新解析——不推荐用于生产）
手动添加后如何验证 autoload 是否生效
如果新包含 PSR-4 自动加载配置，Composer 不会自动把它加进 vendor/autoload.php 的映射表——因为这个映射由 composer dump-autoload 生成，而该命令默认只扫描 "autoload" 配置项下的本地路径。
若依赖包自身声明了 "autoload"（如 "psr-4": {"Monolog\": "src/"}），无需额外操作；但如果你手动加的是未声明 autoload 的私有包，需确认：
- 该包的
composer.json中包含合法"autoload"字段 - 你已运行过
composer dump-autoload（尤其在添加了本地 path repository 后） - 没有启用
"optimize-autoloader": true且未执行composer install --optimize-autoloader，否则可能跳过动态发现
私有包或本地路径依赖的特殊处理
若要引入本地目录或 Git 仓库，不能只写在 "require" 里，还必须在 "repositories" 中声明源类型：
{
"repositories": [
{
"type": "path",
"url": "../my-private-package"
}
],
"require": {
"my-vendor/my-private-package": "*"
}
}
之后必须运行 composer update my-vendor/my-private-package，否则 Composer 仍会尝试从 Packagist 下载。
路径仓库要求目标目录下存在有效的 composer.json，且 "name" 字段必须与 "require" 中的包名完全一致（包括大小写）。
