安全移除 Composer 包需先查代码中 use/new/静态调用、配置文件字符串引用及间接依赖；再清理服务注册、autoload 映射；最后覆盖 HTTP、队列、命令等运行时场景验证。

确认包是否被项目直接引用

直接删 composer.json 里的依赖项或运行 composer remove vendor/package 前，先查它是否还在代码里被 use、new 或静态调用。很多“安全移除”失败，是因为 IDE 没索引全、或用了字符串类名、反射、配置文件动态加载——这些都不会被静态分析捕获。

• 用 grep -r 'Vendor\Package' . --include="*.php" 扫描全项目（注意命名空间斜杠转义）
• 检查 config/、resources/ 下 YAML/PHP 配置，看是否有该包的 service ID 或类名字符串
• 运行 composer why vendor/package 看是否被其他依赖间接依赖；若输出非空，说明删它会导致依赖树断裂

区分 require 和 require-dev 的删除方式

开发依赖（如 phpunit、larastan）可直接 composer remove --dev vendor/package；但生产依赖必须更谨慎——哪怕你认为没在用，也可能是框架底层通过插件机制加载的。

Json Repair Kit

使用 Node.js 评估修复格式错误的 JSON，自动纠正尾随逗号、单引号、未加引号的键等常见问题，实现文件规范化。

下载

• 删 require-dev 后，执行 composer install --no-dev 验证生产环境能否正常 autoload
• 删 require 后，务必清空 vendor/autoload.php 缓存（如有），并运行 composer dump-autoload -o 重建优化后的自动加载映射
• 若项目用了 Composer 插件（如 ocramius/package-versions），删它前先确认没有其他包依赖其版本信息 API

处理移除后残留的自动加载与配置

Composer 移除包时不会自动清理 config/packages/xxx.php（Symfony）、app/Providers/XXXServiceProvider.php（Laravel）或 bootstrap/app.php 中的手动注册逻辑。这些残留会导致运行时报 Class not found 或服务启动失败。

• 搜索 ServiceProvider、register、bind、load 等关键词定位注册点
• 检查 composer.json 的 autoload / autoload-dev 字段，删掉已不存在的 psr-4 映射路径（否则 composer dump-autoload 会报 warning）
• 运行 composer show --tree 确认该包及其子依赖已完全从锁文件中消失

验证移除是否真正安全

光跑 php artisan test 或 ./vendor/bin/phpunit 不够——有些包只在特定 HTTP 请求路径、队列任务或 Artisan 命令中触发。真实验证要覆盖运行时上下文。

• 启动开发服务器（php artisan serve 或 symfony server:start），手动访问高频接口和管理后台页面
• 触发一次队列消费（php artisan queue:work --once）和定时任务（php artisan schedule:run）
• 检查日志：运行 tail -f storage/logs/laravel.log 或 var/log/dev.log，留意 Class 'X' not found、Call to undefined method 类错误
• 若项目有前端构建步骤（如 Laravel Mix），确认 npm run dev 仍能成功，因为某些 PHP 包可能通过 Blade 指令或内联 JS 注入前端逻辑

移除依赖最危险的环节不在命令本身，而在“以为删干净了”的错觉——尤其当包通过配置、事件监听器或宏注册等方式隐式接入时，错误往往延迟到某个特定用户行为才暴露。