Composer不会自动删除未使用的包，因为它只依据composer.json中的require和require-dev字段安装，不分析代码实际调用；需借助roave/better-reflection、phpstan或手动验证等方法识别冗余依赖。

composer为什么不会自动删掉没用的包

Composer 安装时只管 require 和 require-dev 里写的包，它不分析你的 PHP 代码里是否真用了某个类或函数。所以你删了 use GuzzleHttpClient;、也删了所有调用，guzzlehttp/guzzle 还稳稳躺在 vendor/ 和 composer.lock 里——它不是“孤立”，只是“未被声明依赖”而已。

如何识别哪些包实际没被项目代码引用

没有 Composer 原生命令能直接回答“这个包有没有被 require_once 或 use 到”，得靠外部工具辅助扫描。推荐两个轻量方案：

• roave/better-reflection + 自定义脚本：适合中大型项目，能准确解析命名空间和别名，但需额外写逻辑
• phpstan/phpstan 配合 --level max + 自定义规则：更实用——它会在分析时报出 Class xxx not found 类错误，反向说明哪些类被引用了；没报错的包，大概率没被用
• 最简判断法：临时删掉某个包（如 composer remove monolog/monolog），再运行 php -l 扫所有 .php 文件 + grep -r 'use Monolog\' src/ tests/，没结果就基本可判定冗余

composer remove 的正确用法和常见陷阱

composer remove 是清理声明式依赖的唯一安全方式，它会同步更新 composer.json、composer.lock 和 vendor/。但注意这些细节：

Laravel

避免常见的Laravel错误：N+1查询、批量赋值、缓存陷阱及队列序列化陷阱。

下载

• 必须指定包名全称，比如 composer remove doctrine/annotations，不能只写 annotations
• 如果包同时出现在 require 和 require-dev，默认只删 require；要删 dev 依赖，加 --dev 参数：composer remove --dev phpunit/phpunit
• 执行后检查 composer.lock 是否真的移除了该包条目，有时因依赖树复杂，它可能被其他包间接 require，导致删不掉——这时要看 composer depends <package> 查谁在拖它
• 别手动删 vendor/xxx 目录或改 composer.json 后 run composer install，这容易留下残留锁版本或 autoload 冲突

清理后务必验证 autoload 和运行时行为

删包不是终点，PHP 自动加载和运行时仍可能出问题：

• 运行 composer dump-autoload -o 强制重建优化后的 autoloader，避免旧映射残留
• 检查 vendor/composer/autoload_psr4.php 和 autoload_classmap.php 里是否还有已删包的注册项（极少见，但发生过）
• 执行 php -m | grep -i xdebug 等扩展检查，某些包（如 symfony/var-dumper）可能被开发工具链隐式依赖，删了会导致 dump() 报错
• CI 流程跑一遍完整测试，特别关注异常处理、日志、HTTP 客户端等易受依赖影响的模块

composer depends guzzlehttp/guzzle
# 输出类似：
# myapp/myproject
# └── laravel/framework (requires guzzlehttp/guzzle ^7.2)

真正麻烦的不是删包本身，而是那些被上层框架或组件悄悄 require 的包——它们看起来“孤立”，实则是隐藏依赖。每次清理前先跑 composer depends，比盲目删除安全十倍。