Composer依赖死锁本质是解析器无法满足所有约束而直接报错退出，典型错误为“root requirements could not be resolved”；应优先用composer why-not定位冲突包，检查conflict/replace误用及stability策略拦截，而非删lock或盲目更新。
Composer 依赖死锁不是“卡住”，而是解析器在多个约束间找不到满足所有条件的版本组合——它会直接报错退出，不重试、不降级、不提示替代路径。
composer update 报 root requirements could not be resolved 怎么快速定位
这是死锁最典型的错误输出，本质是 Composer 尝试遍历所有可能的版本组合失败。别急着删 composer.lock 或改约束，先做三件事：
- 运行
composer why-not package/name version（比如composer why-not monolog/monolog ^3.0），它会明确告诉你哪个包在阻止升级——常是某个间接依赖锁死了psr/log的版本 - 检查
composer.json中是否存在宽泛的conflict规则，例如"conflict": {"php": "8.3.*"}，而你本地 PHP 是 8.3.5；这种写法会把整个 8.3 分支全拦住，实际应写成"conflict": {"php": "8.3.0", "php": "8.3.1", "php": "8.3.2"}或直接删掉 - 确认有没有
replace字段误用：比如你写了"replace": {"old/package": "*"}，但old/package实际被另一个包通过provide声明为能力依赖，此时 Composer 会因“身份冲突”放弃解析
为什么加 --with-dependencies 有时反而让死锁更难解
composer update --with-dependencies 不是“智能连带更新”，而是强制把目标包的所有上游依赖也纳入当前解析范围。在复杂项目中，这相当于把原本隔离的子图拉进主图，大幅增加组合爆炸风险。
常见错误现象：单独 composer update guzzlehttp/guzzle 成功，但加了 --with-dependencies 就报错。原因往往是某个上游包（如 psr/http-client）同时被 Laravel 和 Symfony 组件引用，且两者要求的版本范围互斥。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
实操建议：
- 优先用
composer update package/name --with-all-dependencies（注意是--with-all-dependencies，不是--with-dependencies），它只更新该包及其直系依赖，不触碰更上层 - 若必须连带更新，先用
composer show package/name查清它的require列表，再手动逐个update，比一次性全量更可控 - 对 Laravel 项目，避免对
illuminate/*批量更新——它们内部强耦合，illuminate/support升级后，illuminate/database可能因未同步而触发死锁
dev-main / dev-develop 被锁死导致无法 install 怎么破
当 composer.json 里写了 "vendor/package": "dev-main"，而该包在 Packagist 上没打任何 stable tag，且你的项目配置了 "minimum-stability": "stable"（默认值），Composer 就会直接拒绝安装——它根本不会去尝试解析 dev-main，因为稳定性策略在解析前就过滤掉了。
这不是版本冲突，是策略拦截。解决方法不是降级稳定性，而是切断这个“不可解析分支”的依赖链：
- 执行
composer require vendor/package:dev-main --stability=dev --no-update，先写入composer.json但不触发解析 - 再临时改配置：
composer config minimum-stability dev，然后composer update vendor/package - 装完立刻还原：
composer config minimum-stability stable，并确认composer.lock中该包的source指向的是具体 commit hash，而非dev-main字符串——后者才是下次install失败的根源
死锁真正的难点不在报错信息，而在它从不告诉你“哪个约束可以松动”。你得自己用 why-not 一层层剥开依赖树，盯着每个 require 和 conflict 字段，像调试一个没有日志的程序。最易忽略的是：Packagist 上显示的“最新版”未必是你 composer.json 当前约束下可选的版本——它只是全局最新，而 Composer 解析器只认交集。
