Composer 报“Package has modified files”是为防止覆盖手动修改：Git 标记包目录为 dirty 时 Composer 中止安装；需进 vendor/package/name 运行 git status 查看改动文件，再按需提交上游、git checkout 撤销或全量 clone 解决 CI 误报。
为什么 composer install 会报 “Package has modified files”？
这不是 Composer 的 bug，而是它在保护你：检测到某个已安装的包（比如 vendor/foo/bar）里有被你手动改过的文件，而这些修改和该包当前安装的版本（通常来自 composer.lock）不一致。Git 会把这些改动标为“dirty”，Composer 就拦下来不让你继续——怕你覆盖掉自己的修改，或者误把脏包当成干净依赖发布。
怎么确认哪些文件被改了？
Composer 不会直接告诉你具体哪几个文件，得靠 Git 自己查：
- 进对应包目录：
cd vendor/package/name - 运行
git status—— 看到的modified:或untracked:行就是问题文件 - 如果提示
fatal: not a git repository，说明这个包压根没用 Git 安装（比如用了 zip 包），那警告其实是误报，可跳过下节
三种处理方式，按场景选
别急着 composer update 或删 vendor，先分清你到底想干嘛：
-
你确实改了源码，且需要保留：把改动提到上游（提 PR），或 fork 后在
composer.json里改成你的 fork 地址 +"type": "package"引入；否则下次composer update一定丢 -
只是临时调试加了
var_dump或注释：进vendor/package/name，执行git checkout -- .撤销所有本地修改，再跑composer install -
想强制忽略警告继续装（不推荐）：加
--ignore-platform-reqs没用，正确参数是composer install --no-scripts --no-plugins配合COMPOSER_DISABLE_XDEBUG_WARN=1也无效；唯一有效的是composer install --dry-run查问题，或干脆rm -rf vendor && composer install（但会丢你所有手动改）
CI/CD 里频繁报这个警告？检查 Git 配置
常见于 GitHub Actions 或 GitLab CI，因为默认 clone 深度为 1，导致 vendor 里的包无法执行 git status（缺历史记录），反而触发误报。解决方法很简单：
- CI 脚本中 clone 时加
--depth=0（全量）或至少--depth=10 - 或在
composer install前加一步：find vendor -name '.git' -type d -exec sh -c 'cd "$1" && git config --local advice.detachedHead false' _ {} \;，避免 Git 提示干扰 - Node.js 项目混用
pnpm或yarn时，注意它们可能对vendor目录做硬链接，也会让 Git 状态异常
真正麻烦的不是警告本身，而是那些没进 Git、只存在你本地 vendor 里的修改——它们不会出现在任何 diff 里，也不会被 CI 检测到，但会在某次 composer update 后神秘消失。
