不能直接用 composer install 恢复 Magento 2 项目，因其依赖需 repo.magento.com 认证、含元包与私有模块，必须正确配置 auth.json 并优先使用 create-project 初始化。
为什么不能直接用 composer install 恢复 Magento 2 项目？
因为 Magento 2 的依赖结构高度定制化：核心模块通过 repo.magento.com 分发，需要认证 token；部分包（如 magento/product-community-edition）是“元包”，不包含实际代码，只声明子依赖；还有大量私有模块、定制插件和平台特定的 composer.json 补丁。直接运行 composer install 很可能卡在认证失败、版本冲突或缺少 auth.json 上。
必须配置 auth.json 并放在正确位置
Magento 官方仓库要求凭据，且 Composer 只认特定路径下的 auth.json。错误位置会导致反复提示输入 token 或静默跳过认证。
-
auth.json必须放在项目根目录（与composer.json同级），或全局COMPOSER_HOME目录下（不推荐，易污染） - 内容格式严格，
repo.magento.com的凭据必须嵌套在http-basic下，不能写成token或api-key - 凭据需从 Magento Marketplace 的 “Access Keys” 页面生成，不是 admin 密码
{
"http-basic": {
"repo.magento.com": {
"username": "e5f8a...",
"password": "6b2c9..."
}
}
}
使用 composer create-project 初始化比 clone + install 更可靠
官方推荐方式能自动处理元包解析、版本对齐和初始文件结构，避免手动指定 magento/product-community-edition 版本时因 minor 版本不兼容导致的 setup:upgrade 失败。
- 运行
composer create-project --repository-url=https://repo.magento.com/ magento/project-community-edition=2.4.7-p1 my-magento-site - 注意等号后不能带空格，版本号必须精确匹配 Marketplace 上发布的 tag（如
2.4.7-p1，不是^2.4.7） - 该命令会自动下载并解压完整代码，同时写入正确的
composer.lock，跳过后续install阶段的大部分解析风险
添加自定义模块时，必须禁用 minimum-stability 干扰
很多内部模块用 dev-develop 或 dev-feature/xxx 分支发布，而 Magento 默认 minimum-stability 是 stable，会导致 Composer 忽略这些分支，报错 Could not find package xxx at any version。
- 在项目根
composer.json中显式设置："minimum-stability": "dev"，并加"prefer-stable": true保底 - 私有 Git 模块要加
repositories块，类型必须为vcs，URL 必须是可克隆的 SSH 或 HTTPS 地址（如"url": "git@github.com:myorg/my-magento-module.git"） - 安装时用完整限定名：
composer require myorg/my-magento-module:dev-develop，不能省略dev-前缀
auth.json 的路径和 create-project 的版本精度——写错一个字符或漏掉 -p1 后缀，就可能拉下带已知安全漏洞的旧版 core，或者触发编译器拒绝加载的签名验证失败。 
