Composer不自动替换废弃包，仅警告；必须查Packagist页面右上角「Replaced by」字段确认权威替代项，区分直接/子依赖处理，并验证autoload、方法签名及dev依赖。

镜像缓存会让废弃提示失效，别信本地警告——必须查 Packagist 页面右上角「Replaced by」字段才算数。

为什么 composer show 和终端警告不可靠

Composer 镜像（比如阿里云、腾讯云）会缓存元数据，导致 composer show vendor/package 输出的 abandoned: true 或 replaced by: new/package 是过期的。你看到的黄色警告可能来自上周的缓存，而 Packagist 上维护者昨天刚填了新替代项。

• 运行 composer show 前先清镜像缓存：composer clear-cache，再执行
• 终端提示里写的 Use xxx instead 可能指向 PSR 接口（如 psr/log），不是可直接 require 的实现，得自己选具体包
• 有些镜像甚至不转发 abandoned 字段，composer install 根本不报 warning——你以为没废弃，其实早被作者归档了

怎么确认废弃包真有安全风险

“abandoned” 不等于“有漏洞”，但两者叠加就必须处理。光看警告不够，得交叉验证：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• 查 Symfony Security Checker 或运行 composer audit --security-only（Composer ≥ 2.5）
• 去 FriendsOfPHP 安全通告库 搜索包名，看是否有 CVE 编号
• 打开 GitHub 仓库主页，检查是否带 archived 标签，或 README 顶部有没有红色 deprecation notice
• 如果该包只在 require-dev 里（比如旧版 phpunit/phpunit），确认代码里是否还有 use PHPUnit 或 new PHPUnit_Framework_TestCase —— 没调用就直接删

替换时如何绕过镜像干扰，直连权威源

Packagist 官方页面的数据永远最新，镜像只是副本。想跳过缓存干扰，直接拿准信息：

• 手动访问 https://packagist.org/packages/vendor/package-name，看右上角「Replaced by」字段——这是作者亲手填的，不是镜像生成的
• 如果字段为空，点进 GitHub 仓库，优先翻 README.md 开头、UPGRADE.md 或 SECURITY.md，别在 Issues 里猜
• 需要临时禁用镜像查原始数据？加 --no-cache 参数：composer show --no-cache vendor/package（注意：这仍走镜像配置，真正有效的是改 composer.json 里的 repositories）
• 终极方案：临时注释掉 composer.json 中的 repositories 配置，让 Composer 回退到官方源，跑一次 composer show 再恢复

替换后 Class not found 还是炸，问题大概率在这三处

换完包名只是第一步，废弃包的替代者几乎都重构过底层结构：

• 检查新包的 composer.json 中 autoload 段：如果原包映射 "psr-0": {"Old_": "src/"}，新包用 "psr-4": {"New\": "src/"}，所有 use Old_Helper 都得改成 use NewHelper
• 构造函数参数变了：比如 GuzzleHttpClient::__construct(array $config) 升级后变成 __construct(HandlerStack $handler)，不改调用方式必报 Too few arguments
• autoload-dev 里偷偷引用了旧包的测试类（如 MonologTestTestCase），单元测试直接失败，这种依赖常被 composer depends 漏掉

最常被忽略的是：废弃包可能藏在某个 SDK 的 composer.lock 里，你删了它，composer update 会回退到旧版本——必须先 composer depends vendor/old-package，找到谁在拉它，再升级那个父包。