Composer不按require顺序安装依赖——安装由composer.lock中的依赖图决定，require顺序仅影响可读性和autoload注册优先级。
很多开发者可能都琢磨过：我把某个包写在require列表的第一位，它是不是就能最先被安装和加载？答案是，这其实是个常见的误解。Composer压根不提供“按顺序安装依赖”的控制能力——require列表里的包没有安装先后之分，所有包都由依赖解析器统一计算后，并行下载、解压并写入vendor/目录。那么，我们写的顺序到底有什么用？它实际上只影响两件事：一是composer.json文件里依赖声明的可读性与维护习惯；二是自动加载时，类定义的覆盖优先级（但这仅限于files和PSR-4映射这两种情况）。
为什么 require 顺序不决定安装顺序
要理解这一点，得先看看Composer的安装流程。它并不会去遍历你写的require数组，而是基于composer.lock中已经解析好的完整依赖图来执行操作。换句话说，即使你把monolog/monolog写在第一行、symfony/console写在最后一行，在实际安装时，两者仍然可能被同时拉取、解压，并生成autoload映射。
- 当你运行
composer install时，Composer只读取composer.lock文件，根本不会去看composer.json里require的排序。 - 当你运行
composer update时，Composer会重新计算整个依赖图，新的顺序由包的约束条件和可用版本共同决定，而不是靠你在JSON文件里写的先后顺序。 - 至于配置项
sort-packages: true（这是默认值），它只会格式化JSON的输出，让文件看起来更整洁，但完全不影响任何运行时行为。
真正影响“谁先被加载”的只有 autoload 注册顺序
那么，什么才真正决定了类能否被找到、以及最终使用的是哪个版本的类呢？答案是vendor/autoload.php里加载器的注册顺序。而这个顺序，是由Composer内部硬编码决定的：
"files"类型的脚本总是被最优先注册（无论你把它写在composer.json的哪个位置）。- PSR-4映射的注册顺序，则遵循
composer.json中的声明顺序（通常是项目自身的映射优先于vendor中的各个包）。 - 但是，vendor内部各个包的PSR-4注册顺序，并不受你的
require顺序控制，而是由composer.lock文件中packages数组的排列决定——这个数组是依赖解析的最终结果，无法手动干预。
所以，如果你想让某个包的类优先被加载，调整require的顺序是没用的。正确的做法是使用prependPsr4()方法动态注入映射，或者把关键类提前放到"files"配置里进行显式引入。
如何让自定义文件在所有 vendor 类之前加载
这是一个非常实际的需求。假设你有一组工具函数（比如helpers.php），你希望它们的函数定义能被所有后续加载的类使用，甚至能覆盖某些全局函数，那就必须确保它们在vendor/autoload.php被引入之前就生效。
- 不要仅仅依赖
"files"配置——虽然它注册得最早，但它仍然是通过spl_autoload_register()机制来加载的，无法覆盖那些已经声明过的函数。 - 正确的做法是：在项目的入口文件（比如
index.php）的顶部，手动require你的自定义文件：require __DIR__ . '/src/helpers.php'; - 然后，再引入
require __DIR__ . '/vendor/autoload.php'; - 这样一来，就能保证你的函数、常量或类在autoloader启动之前就已经存在，从而有效避免“Cannot redeclare”这类错误。
最后，需要特别警惕一个最容易被忽略的认知误区：autoload的顺序 ≠ 安装的顺序 ≠ 代码执行的顺序。你眼中看到的require列表，仅仅是一个输入参数，而不是一条条指令。真正在背后起作用的，是锁文件的内容、autoloader的注册时机，以及你是否在入口处主动干预了加载链条。理解这一点，才算摸清了Composer依赖管理的门道。
