vendor目录不可随意删除或移动，因其包含autoload.php自动加载入口及composer/autoload_*.php路径映射，删除后不运行composer install会导致Class not found；自定义位置需提前配置config.vendor-dir并重装依赖。
vendor 目录是 Composer 安装依赖时自动生成的存放位置，所有通过 composer require 或 composer install 引入的第三方包（包括其自身依赖）都会被解压、整理并存放在这个目录下。它不是可选配置项，而是 Composer 工作流中强制存在的核心路径。
为什么 vendor 目录不能随便删或移动
Composer 不仅把代码放进去，还会在 vendor/autoload.php 中生成完整的 PSR-4/PSR-0 自动加载映射，同时在 vendor/composer/autoload_*.php 里固化包名与路径的对应关系。一旦手动移动或删除 vendor，require 'vendor/autoload.php' 就会失败，所有依赖类无法被自动加载。
- 删除后不运行
composer install或composer update，项目直接报Class not found - 用 symlink 替换整个
vendor目录——Composer 不识别，后续dump-autoload仍按原路径写入映射 - 修改
config.vendor-dir后未清空旧vendor，可能导致新旧包混存、版本冲突
如何安全地自定义 vendor 目录位置
可通过 composer.json 的 config.vendor-dir 字段重定向，但必须在首次安装前设置，否则已有依赖不会自动迁移。
{
"config": {
"vendor-dir": "lib/vendor"
}
}
- 设置后需重新执行
composer install，旧vendor目录不会被自动清理 - 若项目已上线，改路径会导致部署脚本失效，CI/CD 流程中需同步更新
autoload.php引入路径 - 某些共享主机限制写入上级目录，此时设为
"vendor-dir": "public/vendor"可能引发 Web 可访问风险，应配合 Web 服务器屏蔽该目录
vendor 目录里哪些子目录和文件不能动
除了你自己加的文件（不建议），以下内容均由 Composer 管理，手动修改会导致依赖行为异常：
-
vendor/autoload.php：唯一推荐引入的自动加载入口，不要编辑 -
vendor/composer/installed.json：记录当前已安装包及其版本，composer show和依赖解析都靠它 -
vendor/composer/autoload_*.php：由composer dump-autoload生成，含命名空间到路径的精确映射 -
vendor/bin/下的可执行文件（如phpunit、laravel）：软链接或封装脚本，指向包内真实二进制，删了就执行不了
真正容易被忽略的是：即使你只改了一个包的源码做临时调试，也别直接在 vendor 里改——下次 composer update 会覆盖掉；应该用 path 仓库或 repositories 覆盖方式本地开发。
