composer install 不能批量安装包，必须用 composer require 批量写入或修改 composer.json 后执行 composer update；推荐先用 --no-update 参数逐个 require，再统一 update --no-interaction。
composer install 不能直接批量装包，得靠 require 批量写入
Composer 没有内置的“一键安装 N 个包”命令，composer install 只读 composer.lock，不解析新包。真要批量加包，核心动作是批量执行 composer require，或者一次性写入 require 字段再 composer update。
常见错误是把一堆包名塞进一个 composer require 命令里，比如：composer require foo/bar baz/qux——这会报错，因为 composer require 默认只接受「一个包名 + 可选版本」，多个包必须分开调用或改用 JSON 注入方式。
- 推荐做法：用 shell 脚本循环调用
composer require，例如：for pkg in "monolog/monolog" "symfony/var-dumper" "phpunit/phpunit:^10"; do composer require $pkg; done
- 更稳妥的做法：先构造好
composer.json的require片段，用jq或 PHP 脚本注入，再跑composer update --no-interaction，避免交互中断和版本冲突提示 - 注意 PHP 版本兼容性：批量装包时如果混入不支持当前 PHP 的包（比如
laravel/framework:^11要求 PHP >=8.2），composer update会失败，不是静默跳过
写 shell 脚本前先确认当前目录有有效的 composer.json
脚本执行失败最常见的原因是路径不对——人在项目根目录外运行，或者 composer.json 不存在、格式损坏。Composer 不会自动向上查找或创建默认配置。
典型错误现象：Could not find a composer.json file in /path/to/dir，或者执行完脚本发现什么都没装上，其实是因为脚本在子目录里跑了 composer require，结果新建了一个临时 composer.json。
- 实操建议：脚本开头强制校验：
if [ ! -f "composer.json" ]; then echo "composer.json not found"; exit 1; fi
- 如果想支持从任意子目录运行，可用
cd $(dirname $(readlink -f composer.json))/..回到项目根，但要注意readlink -f在 macOS 上不可用，得换greadlink -f（需 brew install coreutils） - 别忽略
composer.json的minimum-stability和prefer-stable设置——它们会影响require时默认拉什么版本，比如设成"minimum-stability": "dev"可能意外装入不稳定分支
require 命令加 --no-update 是为了防中途失败导致状态混乱
批量装包最怕执行到一半出错：网络中断、包被删、权限不足……这时如果每个 composer require 都默认触发更新，可能留下部分写入 composer.json 但没装依赖的状态，后续 composer install 会报错或漏包。
正确节奏是「先集中写入，再统一更新」。关键就是所有 require 都带上 --no-update，最后再补一次 composer update --no-interaction。
- 示例脚本片段：
composer require monolog/monolog --no-update<br>composer require symfony/var-dumper --no-update<br>composer update --no-interaction
-
--no-interaction必须加在最终update上，否则遇到版本冲突或 prompt 会卡住；但require --no-update本身不交互，可不加 - 性能影响：多次
require --no-update比单次update开销小很多，因为不解析依赖树、不查 lock、不下载包，只是改 JSON
PHP 脚本比 shell 更可控，尤其处理版本约束和条件判断
纯 shell 处理带版本号的包（如 doctrine/dbal:^3.7）、跳过已存在包、按 PHP 版本分组装包，容易出 quoting 错误或逻辑漏洞。PHP 本身解析 JSON 稳定，还能复用 Composer 的 IO 和 Repository 接口。
常见坑：shell 里用变量拼接 composer require "$pkg"，遇到含 ^ 或 : 的版本号会被 shell 解析或截断；而 PHP 用 json_decode(file_get_contents('composer.json')) 直接操作数组，干净利落。
- 最小可行 PHP 脚本思路：
$reqs = ["monolog/monolog" => "^3.5", "symfony/console" => "^6.4"];<br>$json = json_decode(file_get_contents('composer.json'), true);<br>$json['require'] = array_merge($json['require'] ?? [], $reqs);<br>file_put_contents('composer.json', json_encode($json, JSON_PRETTY_PRINT|JSON_UNESCAPED_SLASHES));<br>exec('composer update --no-interaction'); - 注意
json_encode的选项：缺JSON_UNESCAPED_SLASHES可能让某些 Composer 插件解析失败；缺JSON_PRETTY_PRINT虽不影响功能，但破坏团队 git diff 可读性 - 不要在脚本里硬编码
composer.phar路径——优先用which composer或检查$_SERVER['COMPOSER_HOME']，避免 CI 环境下找不到二进制
composer update 后就万事大吉，但若项目用了 composer install --no-dev 部署，而批量脚本里混入了 dev-only 包（比如 phpstan/phpstan），就得额外处理 require-dev 分离——这事没法靠一个 flag 解决，得脚本里明确区分字段。 
