composer-unused 报“No unused packages found”通常因默认仅扫描src/和tests/目录，需手动指定--paths扩展范围，并结合--autoload、--dynamic及--exclude等参数适配框架特性、动态调用和声明式依赖，CI中需确保autoload完整且内存充足。
composer-unused 报告 “No unused packages found” 但你确信有冗余依赖
这通常不是工具不准，而是它默认只扫描 src/ 和 tests/ 目录下的 PHP 文件，而你的实际使用可能藏在 bin/、app/、config/ 或命令行脚本里。
- 运行前先确认扫描范围：
composer-unused --paths="src,app,bin,config" - 如果用了 Laravel 的服务提供者或 Symfony 的 bundle，它们的类可能没被静态分析到——加
--autoload强制加载自动加载规则 - 某些包仅通过字符串类名（如
class_exists('SomeVendor\Helper')）调用，composer-unused默认不解析这种动态引用，需配合--dynamic（但会变慢且可能误报）
检查结果里出现大量 false positive（误报）
误报主因是静态分析无法识别运行时行为，比如依赖注入容器、工厂模式、插件系统或注解驱动的类加载。
- 排除已知“只配置不调用”的包：
composer-unused --exclude="phpunit/phpunit,nikic/php-parser" - 若项目用 Doctrine Annotations 或 PHPStan 扩展，它们的依赖常被标记为未使用——这类属于“声明式依赖”，建议直接加到
exclude列表 -
composer-unused不理解 PSR-4 自动映射外的别名加载（如 Laravel 的App::make('SomeService')），遇到就手动验证 + 排除
CI 环境下运行 composer-unused 失败或超时
CI 中缺少 autoload 文件或内存限制低，容易导致解析中断或假阴性。
- 确保 CI 先执行：
composer install --no-dev（或保留--dev，取决于你想检测哪些包） - 生成完整 autoload：
composer dump-autoload --optimize --classmap-authoritative，再跑composer-unused - GitHub Actions 或 GitLab CI 默认内存有限，加
COMPOSER_MEMORY_LIMIT=-1防止 OOM
想自动化检测并阻断 PR 合入含冗余依赖的代码
不能只靠一次扫描，得结合 Composer 的 lock 文件变更和代码改动范围做轻量判断。
- 在 PR CI 中加一步：
composer-unused --no-progress --json | jq -r '.unused[]?.name' | head -5，非零输出就exit 1 - 注意：不要在
composer.lock变更后立刻扫描——新包可能还没在代码里用上，建议等至少一个 commit 周期后再检查 - 更稳妥的做法是只对
composer.json新增的包做“72 小时未使用”标记，而不是直接报错；人容易漏删 require，但机器不该替人决定删什么
真正难的不是跑出结果，是区分“技术上未使用”和“业务上暂未启用”。有些包加进来就是为后续功能铺路，composer-unused 没法读你下周的排期。每次删之前，搜一下 git log -S "vendor-name" 和 config 文件里的关键词更靠谱。
