Drupal模块不能在自身目录执行composer require，因其composer.json仅含元信息且不参与依赖解析；必须在项目根目录添加扩展依赖并更新autoload。

Drupal 模块本身不直接声明 composer 依赖，安装扩展依赖必须通过项目根目录的 composer.json 显式添加，而不是在模块内部操作。

为什么不能在模块里用 composer require

Drupal 模块（如 webform、paragraphs）是纯代码包，其 composer.json 仅用于包元信息（name、type、autoload），不参与依赖解析。运行 composer require 在模块目录下会报错：Could not find a composer.json file in /path/to/module 或触发错误的依赖树合并。

• Composer 只认项目根目录下的 composer.json
• Drupal 的自动加载机制依赖于根项目的 vendor/autoload.php
• 模块作者若需第三方库，应在文档中明确要求用户手动添加到项目级 composer.json

正确添加扩展依赖的三步操作

以给 drupal/jsonapi 模块添加一个用于处理 JSON 的 PHP 库 spatie/json-api-serializer 为例：

• 确认该库与 Drupal 版本兼容（例如支持 PHP 8.1+、不冲突 symfony/* 版本）
• 在 Drupal 站点根目录执行：

  composer require spatie/json-api-serializer:^3.0

• 检查 composer.lock 是否更新，并运行

  drush cr

  清除缓存（确保新类可被自动加载）

常见陷阱：版本冲突与 drupal-module 类型干扰

某些库（如 guzzlehttp/guzzle）在 Drupal 核心或已有模块中已声明，直接 require 可能触发 Root package cannot require itself 或 could not be resolved to a compatible set of packages 错误。

• 先运行

  composer show guzzlehttp/guzzle

  查看当前已安装版本
• 使用 --with-all-dependencies 谨慎升级：

  composer require guzzlehttp/guzzle:^7.8 --with-all-dependencies

• 避免给 drupal-module 类型包加 require —— 它们不是 Composer 的依赖目标，而是 Drupal 启用对象
• 若模块文档要求“安装某库”，它一定是指项目级依赖，不是模块子目录里的局部安装

最易被忽略的一点：所有扩展依赖必须能在 vendor/autoload.php 中被加载，而这个文件只由根 composer.json 控制。模块开发者不会、也不应替你运行 composer install。你得自己管好项目级依赖树。