Composer 是现代 PHP 项目依赖管理的事实标准，必须通过 composer init 初始化并运行 composer install 生成 autoload.php；线上环境严禁使用 composer update，应固定执行 composer install --no-dev 等安全命令。
Composer 不是 PHP 动态网站的“附加功能”，而是现代 PHP 项目依赖管理的事实标准——没它，连 vendor/autoload.php 都加载不了，require 第三方库会直接报错。
怎么初始化一个带 Composer 的 PHP 动态网站项目
别从空文件夹开始手动建 composer.json。用官方推荐方式初始化：
- 确保已安装 Composer（运行
composer --version验证） - 进入你的网站根目录（比如
/var/www/html/my-site），执行：composer init
，按提示填包名、描述、依赖等；或更常用的是直接创建最小化配置：composer init --name="my-site" --type="project" --require="php:^8.1"
- 生成后立刻运行
composer install，它会读取composer.json，创建vendor/目录并生成自动加载器 - 在网站入口文件（如
index.php）顶部加上：require __DIR__ . '/vendor/autoload.php';
，之后才能用new GuzzleHttp\Client()这类类名
动态网站常用依赖怎么装（不是所有包都适合）
装错包类型会导致部署失败或安全风险。注意区分用途：
-
composer require monolog/monolog：日志库，适合写入访问日志、错误追踪，放在require区（生产环境需要） -
composer require --dev phpunit/phpunit：测试工具，只放require-dev，上线前运行composer install --no-dev可排除它 - 避免装
composer require laravel/framework这类全栈框架到已有网站——除非你准备重构成 Laravel 项目；小网站更推荐轻量方案，比如composer require league/route做路由，composer require doctrine/dbal做数据库抽象 - 若网站需处理上传，
composer require symfony/filesystem比手写move_uploaded_file()更安全（自动校验路径、权限）
composer install 和 composer update 到底该用哪个
线上服务器必须用 composer install，否则可能破坏稳定性：
立即学习“PHP免费学习笔记（深入）”；
-
composer install：严格按composer.lock安装——这是关键。它锁定每个包的确切版本（包括子依赖），保证开发、测试、生产环境一致 -
composer update：忽略composer.lock，按composer.json中的版本约束（如"^2.0"）拉最新兼容版——仅应在本地开发时运行，且更新后要提交新的composer.lock - 常见错误：上线时误跑
composer update，导致某依赖悄悄升级，引发Call to undefined method或 JSON 解析异常；修复方法是删掉vendor/和composer.lock，再composer install - CI/CD 流程中，应固定命令为：
composer install --no-interaction --optimize-autoloader --no-dev
为什么有些 PHP 动态网站根本不用 Composer
不是不能用，而是用了反而增加运维负担：
- 纯静态内容+少量
mysqli_connect()的老式网站，硬加 Composer 只是多一层require和vendor/目录，没实际收益 - 共享主机不支持命令行或禁用
proc_open()（Composer 内部依赖），此时强行部署会卡在 “Failed to clone” 错误 - 某些 CMS（如 WordPress 插件）要求代码直接放进
wp-content/plugins/，而 Composer 默认装进vendor/——得配合composer/installers插件重定向安装路径，否则无法生效 - 最常被忽略的一点：Composer 自动加载基于 PSR-4，如果你的旧代码用的是自定义
__autoload()或set_include_path()，两者混用会导致类找不到，必须统一到autoload.php
