Composer将require、conflict、replace统一视为逻辑约束求解，冲突本质是约束无交集而非顺序优先级；conflict全局生效，replace是运行时替换开关且需真实功能覆盖，私有源需配置"packagist": false才生效。
Composer 不会按“谁写在前面”或“谁 require 得早”来决定优先级，它把 require、conflict、replace 全部当作逻辑约束统一求解——冲突不是顺序问题，是约束无解。
require 和 conflict 不是“谁赢谁输”，而是交集运算
当你同时声明 "require": {"symfony/console": "^5.0"} 和 "conflict": {"symfony/console": "，Composer 实际接受的版本不是“先装 5.0 再踢掉 5.3”，而是直接锁定在 <code>>=5.4 && 这个交集区间。它不执行先后动作，只输出满足全部条件的唯一解。
常见错误现象：
- 你在私有包里写了
"conflict": {"laravel/framework": ">=11.0"}，但项目根本没 require Laravel，却仍报错——因为某个已装的 dev 包（如orchestra/testbench）间接拉入了 L11 的依赖链，conflict是全局生效的 - 改完
composer.json后直接composer update，结果发现symfony/event-dispatcher被降级到 v5.4，而你只动了monolog/monolog的约束——这是因为全量重算触发了回溯，旧版 monolog 依赖的 event-dispatcher v5.4 成了“更易满足”的路径
replace 字段不是“提示”，是运行时替换开关
replace 告诉 Composer：“这个包装的是另一个包的功能，安装它就等于安装了被替代项”。比如 symfony/polyfill-mbstring 在 replace 中声明替代 ext-mbstring，那么只要 polyfill 装上了，Composer 就认为 ext-mbstring 的依赖已满足。
但注意：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 替换必须真实覆盖：用
mockery/mockery去replacephpunit/phpunit的 mock 功能？不行。PHPUnit 内部硬编码调用自己PHPUnit\Framework\MockObject\*类，polyfill 无法接管 -
replace后，被替代项不能再被其他包 require——否则 Composer 会报Package ... is replaced by ... and thus cannot be required - 若你用
replace替换一个扩展（如ext-redis），但运行时代码真调用了Redis::connect()，而 polyfill 没实现该方法，就会在 PHP 层直接 fatal error
私有仓库优先级失效，90% 是漏了 "packagist": false
即使你把私有 Satis 源写在 repositories 数组第一位，只要没在 composer.json 根层级加 "packagist": false，Composer 仍会把 packagist.org 当作兜底源插队到最后匹配。这意味着：你的私有包 myorg/utils v2.1 可能永远不被选中，因为 packagist.org 上同名的废弃包 v1.8 先响应了请求。
实操检查点：
- 运行
composer show -a myorg/utils，看source行是否指向你的私有 URL；如果不是，立刻检查"packagist": false是否在根对象下（不在repositories里，也不在config里） - 多个私有源共存时，顺序就是优先级：
repositories数组索引越小，匹配越靠前；不要混用"type": "composer"和"type": "vcs"，它们元数据解析机制不同，可能导致跳过 - 私有源返回的
packages字段必须精确匹配 require 的包名，大小写、连字符、vendor 名一个都不能错
为什么 composer why-not 输出一堆嵌套却找不到“罪魁祸首”
composer why-not vendor/package:version 输出的是“拒绝理由链”，不是因果图。它从最底层的冲突点往上追溯，最后一行才是你的 composer.json 根依赖，倒数第二行是它的直接依赖，依此类推。
容易踩的坑：
- 把输出从上往下读——这会让你误以为第一个出现的包是源头，实际要从底往上分析
- 看到某行末尾写着
(required by myapp/core)，就去改myapp/core的composer.json，但没注意它上面还有一行(required by vendor/sdk-b)，而sdk-b才是真正锁死版本的包 - 忽略
require-dev的影响：运行composer update无参数时，dev 包参与解析；CI/CD 中应始终用composer install --no-dev，否则phpunit对sebastian/exporter的版本要求可能反向卡住主流程
真正难处理的，从来不是哪个字段优先级高，而是约束之间存在隐性耦合——比如 A 包 require 的某个 minor 版本，恰好触发了 B 包 conflict 里一条未文档化的边界规则。这时候，--dry-run 和 git diff composer.lock 比任何理论都管用。
