Composer 中可用 replace 静默跳过包安装，conflict 强制阻止特定版本安装，require-dev + --no-dev 隔离开发依赖，provide 替换风险高应慎用。
使用 replace 阻止某个包被安装
Composer 本身不提供“黑名单式”排除依赖的指令，但可以通过 replace 告诉它：“这个包我已有替代方案，别装了”。这在你想用自定义分支、本地路径或完全跳过某个间接依赖时最常用。
比如项目里有个上游包 monolog/monolog 被其他依赖拉进来，而你确定不需要它（且没代码调用它），可以在 composer.json 的根级加：
"replace": {
"monolog/monolog": "*"
}
这样 Composer 就不会安装它，也不会报冲突——但它不会检查你是否真有替代实现，只是“假装已存在”。
-
replace中的版本号写*最安全；写具体版本可能因上游依赖要求不匹配而失败 - 如果该包被多个依赖声明为
require，仅靠replace可能触发conflict报错，此时需配合conflict或换方案 - 运行
composer update后用composer show确认它确实没出现在已安装列表里
用 conflict 强制阻止特定包安装
当你明确知道某个包的存在会导致运行时错误（比如与 PHP 版本不兼容、或和自定义扩展冲突），conflict 是更直接的手段。它会让 Composer 在解析依赖时直接报错并中止，而不是静默跳过。
例如，某老项目不能用 symfony/polyfill-mbstring v1.30+（因内部字符处理逻辑冲突），可加：
"conflict": {
"symfony/polyfill-mbstring": ">=1.30.0"
}
注意：这不是“排除”，而是“拒绝安装满足条件的版本”。Composer 会尝试找一个不满足 conflict 条件的版本；若找不到，就报错退出。
-
conflict不影响包是否被下载，只干预依赖解析阶段 - 不要滥用
conflict替代replace，否则可能让composer update频繁失败 - 错误信息通常是
Your requirements could not be resolved to an installable set of packages.，接着列出冲突项
通过 autoload-dev 和 require-dev 隔离开发期依赖
很多“不需要的依赖”其实只在开发或测试时被引入（比如 phpunit/phpunit、mockery/mockery），上线环境根本用不到。这时不该去排除它们，而是确保它们不会进入生产环境。
关键操作只有两步：
- 把这类包全部移到
require-dev下，而非require - 部署时用
composer install --no-dev，Composer 就自动跳过require-dev里的所有包
顺带一提：autoload-dev 里的 PSR-4 映射也只在 --no-dev 关闭时生效，不影响生产 autoloader 性能。
小心 provide 和 fork 替换的副作用
有人会 fork 一个包，删掉其中某个子组件（比如去掉 guzzlehttp/guzzle 的异步支持），再用 provide 声明自己“提供了原包”，试图骗过依赖检查。这种做法风险很高：
- 下游包可能实际调用了被删掉的功能，运行时报
Class not found或Call to undefined method -
provide不校验接口兼容性，Composer 只看字符串匹配 - 升级上游时极易遗漏同步改动，导致行为漂移
真正需要定制时，优先考虑 path repository + repositories 配置，明确指定本地路径，并保留完整接口契约。
