技术博客
广告横幅不是靠 <marquee></marquee> 或一堆 <div> 堆出来的，核心是语义清晰、加载可控、不阻塞页面，同时让广告平台能正确注入代码。 <h3>怎么写一个合规的 HTML 广告位容器</h3> <p>广告位本质是个「占位符」，不是内容本身。它得告诉广告系统：“我在这儿，你来填”。不能写死图片或链接，也不能用 <code>display: none 预留空白——那会触发广告平台的可见性检测失败。
默认 composer show 只在终端滚动输出，没法直接保存或筛选。它本质是调试用命令，不是导出工具。
支付宝开放平台对接时，密钥不是“一个密钥走天下”，而是必须同时配置三类密钥：应用私钥（app_private_key）、应用公钥（app_public_key）、支付宝公钥（alipay_public_key）。少一个或配错位置，签名验证必然失败，常见报错如 INVALID_SIGNATURE 或 ILLEGAL_SIGN。
根本原因不是网络不通，而是 Composer 默认所有包都走 packagist.org（公网），而内网没路由、没 DNS 解析、也没代理转发。它连第一步元数据都拉不下来，根本到不了“下载 ZIP”那步。
直接运行 composer licenses 就能输出所有已安装包的许可证类型和链接。这个命令是 Composer 内置的，不需要额外插件，但只在 2.2+ 版本可用；低于这个版本会报错 Command "licenses" is not defined。
想确认某个包装了没、装的什么版本、依赖了谁，composer show 是唯一需要记住的命令。它不查锁文件也不读配置，只看 vendor/ 里真实存在的包，结果最可信。
因为默认行为是去 packagist.org 实时拉取包元数据和 ZIP 文件，哪怕 composer.lock 已存在，composer install 仍会尝试连接远程仓库校验签名、检查更新状态——这步一断网就卡住或报 Could not fetch https://repo.packagist.org/packages.json。
Go 编译出的二进制本身是静态链接的，但如果你直接 FROM golang:1.22 并把源码 COPY 进去构建，最终镜像会带上整个 Go 工具链、$GOROOT、/usr/local/go 下所有东西——这不是运行时需要的，纯属浪费。
它只检查 composer.lock 中已安装的依赖，不扫描源码或自定义代码。结果来自 Packagist 官方维护的 [Security Advisory Database](https://github.com/composer/advisories)，覆盖主流 PHP 包（如 monolog/monolog、laravel/framework），但不会报出未收录的私有包或未公开披露的 0day。
composer outdated 不是“查有没有新版本”，而是查“有没有满足你当前版本约束的新版本”。
比如你在 composer.json 里写的是 "monolog/monolog": "^2.0"，那它只关心 2.x 范围内的最新版（如 2.10.0），不会告诉你 3.0.0 已发布——哪怕 3.0.0 更安全、功能更强。