Composer 依赖解析基于 SAT 求解器统一处理所有约束，而非按 require 顺序或仓库优先级决定版本；require、conflict、replace、PHP 版本等均参与全局逻辑求解，私有源需配合禁用 packagist.org 和明确 providers 才能生效。
Composer 依赖解析不是“谁写在前面就听谁的”
Composer 的版本选择不按 require 字段里包的书写顺序，也不按你本地 composer.json 中 require 和 conflict 谁在上面来决定优先级。它用的是 SAT 求解器——把所有约束（require、conflict、replace、php 版本、稳定性等）统一建模成逻辑公式，再找一组满足全部条件的版本组合。
这意味着：require "monolog/monolog": "^2.0" 和 "conflict": {"monolog/monolog": " 不是“先装再踢”，而是同时生效：最终选中的版本必须落在 <code>^2.0 且 ≥2.9.0 的交集里（比如 2.10.0）。没有“覆盖”或“后置生效”，只有“共同满足”。
- 常见错误现象：以为把
"laravel/framework": "10.40.0"写在require第一行，就能压住其他包带进来的^10.0—— 实际上，如果某个间接依赖硬性要求"laravel/framework": "^9.0"，而你又没加conflict或锁死platform-check，SAT 求解器会直接报冲突，而不是“取最大值” - 使用场景：当你看到
Your requirements could not be resolved to an installable set of packages.，别急着改require顺序，先用composer why-not laravel/framework:10.40.0查谁在拦路 - 性能影响：约束越复杂（比如大量
conflict+ 多个私有源 +minimum-stability变动），SAT 求解耗时越长，甚至卡住；建议生产环境固定composer.lock，避免每次install都重解
直接依赖和间接依赖在解析中地位完全平等
Composer 不区分“我写的 require”和“别人 require 带进来的”，所有依赖都扁平摊开进依赖图，然后统一求解。一个间接依赖提出的版本限制，和你亲手写的 require 具有同等效力。
例如：你的项目 require 了 package-a:1.2，而 package-a 的 composer.json 里写了 "require": {"php": ">=8.2"}，那么即使你本地 PHP 是 8.3，Composer 也会拒绝安装 package-a:1.2——因为这个 php 约束来自间接依赖，但它参与全局约束求解。
- 常见错误现象：
composer update突然失败，报错指向某个你根本没在require里写的包（比如symfony/polyfill-mbstring），其实是某个你依赖的包（如guzzlehttp/guzzle）把它拉进来的，它的conflict或require规则触发了全局冲突 - 参数差异：
require-dev中的包只参与开发环境求解，不影响生产install --no-dev的结果；但一旦你在require-dev里写了和require冲突的版本（比如"monolog/monolog": "^1.0"），composer update仍会报错——因为求解器看到的是整个图 - 兼容性影响：某些包用
replace声明替代关系（如"laravel/tinker": "dev-master as 2.9.0"），这种声明会被间接依赖继承，可能意外覆盖你期望的主版本
仓库优先级只对“包是否命中”起作用，不干预版本决策
仓库顺序（repositories 数组顺序）只决定 Composer 去哪个源查元数据，**不决定最终选哪个版本**。只要某个源返回了可用版本列表，后续版本筛选（哪个 2.x 版本最匹配）就完全交给 SAT 求解器，和仓库无关。
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
换句话说：你把私有 fork 放第一位，只能确保 laravel/framework 的元数据从你自己的源读；但具体装 10.38.0 还是 10.42.0，取决于所有约束合起来能跑通哪一套，不是“私有源给啥就装啥”。
- 常见错误现象：私有源里上传了
myorg/utils:2.5.0，但composer update装的却是 Packagist 上的2.4.1—— 很可能因为你没在私有源的packages.json里明确声明"myorg/utils"是 provider，或者没禁用packagist.org（漏了{"packagist.org": false}） - 使用场景：想强制走私有源？除了
repositories排序，必须做两件事：{"packagist.org": false}关掉兜底；私有源packages.json的providers字段明确列出该包名 - 注意：VCS 类型仓库（
"type": "vcs"）不参与元数据合并，只在你require里显式写"vendor/pkg": "dev-main"时才触发克隆，它不参与“找包”阶段，所以谈不上“优先级”
真正能干预版本选择的，只有 conflict、replace 和 platform 配置
如果你希望排除某个版本范围、强制降级、或伪装版本号，靠改 require 顺序或换仓库都没用。唯一有效手段是显式声明约束：
-
conflict：直接禁止组合，比如"conflict": {"php": " 会让所有 php <li> <code>replace：用于版本映射，如"replace": {"old/package": "self.version"}，或配合as别名（"private/pkg": "dev-main as 3.0.0"），让求解器把开发分支当正式版看待 -
config.platform：伪造运行环境，比如设"php": "8.1.0"，可绕过某些包对高版本 PHP 的硬性require，但要注意实际运行时是否真兼容
这些配置都会被转译成 CNF 逻辑子句，进入求解器核心。它们才是你手上真正可控的“杠杆”。其他操作，比如调换 require 行序、多加几个 repositories，只是在改输入数据的加载路径，不改变求解逻辑本身。
容易被忽略的一点是：SAT 求解器默认倾向“较新但兼容”的版本，但这个倾向不是规则，只是启发式策略；一旦约束收紧（比如加了 tight conflict），它会毫不犹豫退回更老的、但唯一可行的版本——这时候你看到的“降级”，不是 Composer “妥协”了，而是它严格履行了你的全部声明。
