Composer本身无“孤儿包”概念，实为操作不闭环导致的残留；composer remove后vendor仍有文件是设计使然，并非失效，需配对运行install/update同步，或直接重建vendor目录与lock文件。
Composer 本身没有“孤儿包”这个官方概念，所谓孤儿包，就是 vendor/ 目录里存在、但没被当前 composer.json 中任何 require 或 require-dev 显式声明，且也不再被其他已安装包依赖的包。它不是 Composer 故意留下的，而是你操作不闭环导致的残留。
composer remove 后 vendor 里还有文件，是命令失效了吗？
不是失效，是设计如此。从 Composer 2.5+ 开始，composer remove vendor/package 默认会删 composer.json 条目、更新 composer.lock、并物理删除 vendor/vendor/package 目录——但前提是：该包必须是你自己显式 require 过的；它没被其他包 require；且当前 composer.lock 和 vendor/ 状态一致。
常见掉坑场景：
- 你手动删了
composer.json里的某行，却没跑composer remove或composer install→vendor/完全不动 - 该包曾是某个已卸载包的子依赖（比如删了
monolog/monolog，但psr/log还在），而它又被别的包共享 → Composer 不会动它 -
composer.lock里还存着旧记录，但vendor/没同步 →composer install会按锁文件重装，导致“删了又回来” - 用了
--no-dev安装过，后来又删了require-dev项，但没补composer install --no-dev→dev包可能残留在vendor/
怎么确认一个包真没人用？别猜，用命令查
靠眼睛扫 composer.json 或看目录大小判断“没用”，90% 是误判。真正安全的方式是让 Composer 自己告诉你依赖关系：
- 查它是否在依赖树里：
composer show --tree | grep package-name，只要出现在任意分支下，就不能直接删 - 反查谁在依赖它：
composer depends vendor/package-name，如果返回空，才说明没有包显式 require 它 - 检查它是否被当前项目代码引用：
composer-unused插件能扫描src/、tests/里的use语句和类名字符串（注意：它不分析class_exists()这类动态加载）
特别注意：symfony/polyfill-*、psr/*、doctrine/deprecations 这类包常被框架底层悄悄 require，depends 返回空 ≠ 可删。
composer dump-autoload 能清掉孤儿包吗？
不能。composer dump-autoload 只重新生成 vendor/autoload.php 和类映射文件（比如 autoload_classmap.php），完全不影响 vendor/ 下的物理文件。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
更危险的是：composer dump-autoload --optimize 会把所有已知类路径写死进 autoload_classmap.php，哪怕你已经删了 composer.json 里的条目、甚至删了 vendor/ 目录，只要这个 classmap 文件里还存着旧路径，Class not found 错误就可能延迟暴露，排查难度反而上升。
所以 autoload 报错时，第一反应不该是重跑 dump-autoload，而是打开 vendor/composer/autoload_*.php，搜包名或类名，看是否残留了不该有的映射。
真正可靠的清理方式：重建，而不是修补
想“精准清理孤儿包”，本质上是在对抗 Composer 的依赖解析逻辑——成本高、风险大、效果差。对大多数项目来说，更省事也更安全的做法是：清掉 vendor/ 和 composer.lock，确保 composer.json 干净，再跑一次 composer install。
这比手动删、反复试、查依赖树快得多，尤其适合以下情况：
- 刚接手一个历史项目，
vendor/里一堆不认识的目录 - 准备升级 PHP 版本或切换到新 CI 流程
- 发现 autoload 总报错，但不确定是哪层残留惹的祸
唯一要注意的是：composer.lock 删之前确认团队是否需要保留版本锁定；如果是生产环境部署流程，应走标准发布流程而非本地重建。
