真正用得上的Composer进阶命令聚焦五个问题：依赖冲突用depends/prohibits定位；本地包开发配path仓库+replace；autoload失效先dump-autoload再优化；install保版本一致性，禁用线上update；composer.lock必须提交，它是协作与部署的契约。
别被“高级”二字唬住——真正用得上的 Composer 进阶命令，其实就集中在解决五个具体问题：依赖冲突查不出、本地包改了不生效、autoload 报错却找不到原因、锁文件该不该提交、以及线上脚本里为什么突然崩了。
composer depends 和 composer prohibits 怎么定位依赖冲突
当你看到 Your requirements could not be resolved 却看不出谁在挡路，composer depends 和 composer prohibits 就是唯二该打开的命令。
-
composer depends vendor/package-name：查清楚「谁在依赖这个包」，比如composer depends monolog/monolog会列出所有直接或间接拉入 monolog 的包，帮你确认是不是某个 dev-only 包把它带进生产环境 -
composer prohibits vendor/outdated-package：不是查“谁用了它”，而是查“谁不让它装”，比如你试图装phpunit/phpunit:^10却失败，运行composer prohibits phpunit/phpunit:9.6就能立刻看到是哪个包硬性要求^8.0 - 这两个命令都不改任何文件，纯只读分析，适合在 CI 流水线失败后 SSH 登上去快速诊断
本地开发多个相互依赖包时，path 仓库和 replace 怎么配才不翻车
主项目依赖本地的 mycompany/auth 和 mycompany/logger，但每次改完要 composer update 才生效？说明你没配对 repositories 和 replace。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 在主项目的
composer.json的repositories里加一个path类型仓库：{"type": "path", "url": "../auth"}，注意url是相对路径，且必须指向含composer.json的目录 - 同时在主项目的
composer.json的replace字段里声明："replace": {"mycompany/auth": "self.version"}，否则 Composer 仍会尝试从 Packagist 下载同名包，覆盖你的本地修改 - 删掉
vendor/mycompany/auth后运行composer update mycompany/auth，它就会软链接到你本地目录，改代码立刻生效
autoload 不生效，dump-autoload -o 为什么有时反而让问题更隐蔽
类明明存在、命名空间也对，但报 Class not found，第一反应不是查 PSR-4 路径，而是检查 autoload 是否刷新过。
- 运行
composer dump-autoload是基础动作；加-o（optimize）会生成静态映射表，提升性能，但代价是：它会跳过某些动态注册逻辑，比如你在src/外手动require的文件不会被收录 - 如果你的类在
app/Helpers这类非标准路径下，又没在composer.json的autoload.files里显式声明，dump-autoload -o后反而更大概率报错 - 调试阶段优先用
composer dump-autoload（不带-o），确认功能正常后再加优化；CI 构建时再用-o
composer install 和 composer update 在部署脚本里混用的致命后果
线上部署脚本里出现 composer update，等于把版本控制权交给了网络延迟、Packagist 状态、甚至某天凌晨某个包作者发布的破坏性更新。
-
composer install只读composer.lock，装里面记录的**确切版本哈希**，这是唯一能保证 staging 和 prod 完全一致的操作 -
composer update会重算整个依赖树，哪怕只写composer update guzzlehttp/guzzle，它也会顺手升级所有间接依赖，可能引入未测试过的psr/http-client补丁版 - CI 流水线里如果用了
composer update，必须搭配--dry-run+ 差异比对，否则下次上线就可能因为一个symfony/polyfill小版本变更而挂掉
最常被忽略的一点：composer.lock 不是“可选配置”，它是契约。只要项目有超过一个人协作，或者要上生产，它就必须被 git add 和 git commit ——哪怕你刚初始化项目、composer install 自动生成了它，也得立刻提交。漏掉这一步，等于没签合同就开工。
