Composer长期维护靠显式约束、support字段、replace/provide语义及lock契约管理；support需真实可用链接，replace须版本对齐且禁用于dev版，provide更安全；版本约束须精确锁定，lock文件是生产依赖契约不可重生成。
Composer 包的长期维护不是靠“自动更新”或“定时脚本”，而是靠显式约束、可验证的 support 字段、精确的 replace/provide 语义，以及对 composer.lock 的契约式管理。
support 字段怎么写才算真正可用
很多人把 support 当成填空项，随便贴个 GitHub 首页链接就完事。但用户遇到问题第一反应就是翻这个字段，它直接决定求助链是否畅通。
-
issues必须指向真实开启、有人看守的 issue tracker，例如https://github.com/vendor/package/issues；不能是组织页、归档仓库或重定向短链 -
source必须能git clone，CI 流水线靠它拉源码；若返回 404 或跳转到文档页，CI 就会失败 -
email推荐用专用别名（如security@vendor.com），避免绑定个人邮箱——人一离职，安全通报就断了 - 不推荐只写 IRC 或论坛；PHP 社区主流支持渠道仍是 GitHub + 邮件，冷门入口等于没写
replace 和 provide 怎么用才不翻车
这两个字段是 Composer 唯一能干预依赖解析逻辑的机制，但错用会导致静默降级、Class not found 或安装失败。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
replace是“我完全取代你”，必须版本号对齐原包兼容范围（如"monolog/monolog": "^2.0"），且代码能跑通所有公开接口 -
provide更安全，适合声明“我提供了某能力”，比如"psr/log-implementation": "1.0.0"；它不移除原包，只参与虚拟包解析 - 禁止在稳定版中用
replace指向dev-main或未发布版本——Composer 只认 packagist.org 上已注册的版本号 - 执行
composer update后，务必用composer show确认被replace的包确实没出现在依赖树里
版本约束写错，维护计划就形同虚设
你承诺 LTS 版本只修 bug、每半年发一个 feature 版，但如果 composer.json 里写的是 "^1.0"，用户装完就自动升到 1.9，根本不会停在你承诺的 1.5 安全基线。
-
"package/name": "1.5.*"或"~1.5.0"才能锁死小版本范围；"^1.5"允许升到1.9.9，甚至2.0.0（如果约束宽松且 SAT 求解器判定兼容） - 主版本跃迁必须手动改
composer.json并同步调整platform要求，不能指望composer update自动完成 - 用
composer outdated --direct定期检查显式依赖，带!标记的行表示 Packagist 标记为有安全公告，这类必须人工介入 - LTS 分支应配合
"minimum-stability": "stable"+"prefer-stable": true，防止dev版本意外混入
composer.lock 不是缓存，是生产环境的依赖契约
删掉重生成 composer.lock，等于放弃对依赖一致性的控制。CI/CD 中任何构建都必须基于它还原，而不是靠 composer update 重算。
-
composer install是毫秒级操作；没有lock文件，就得重新解析整张依赖图+下载元数据，CI 时间可能多出 2–5 分钟 -
composer update --lock-only会读新composer.json并校验当前 vendor 是否仍满足所有约束——若不满足，直接报错，不改 lock -
composer update --lock不联网、不查 json 更新，只对当前vendor/做快照并标准化格式写回 lock；它不会响应你刚在 json 里新加的包 - 每次提交代码时，
composer.lock必须和composer.json同步提交；漏掉 lock，下游项目就无法复现你的运行环境
最常被忽略的一点：长期维护不是比谁升得快，而是比谁锁得准、谁的 support 字段真能接住问题、谁的 replace 逻辑经得起 composer show 检验。一旦把 composer.lock 当缓存、把 support 当装饰、把 replace 当别名，维护成本会在半年后指数级上升。
