replace和provide不能覆盖子包依赖，仅require+conflict+inline-alias组合可干预；inline-alias须由子包自身声明（如"dev-main as 1.2.3"），根项目无法单方面重写，稳定版本忽略alias，强制统一需靠require指定版本并配合conflict阻止冲突版本。
Composer 的 replace 和 provide 不能覆盖子包依赖
想靠 replace 或 provide 让根项目“假装”自己提供了某个子包依赖的库（比如让子包以为 monolog/monolog 已安装，从而跳过安装）——这行不通。Composer 在解析依赖时会严格校验实际已安装的包版本，replace 只影响包名冲突和安装决策，不改变依赖图中对具体包的版本约束解析。
真正能干预子包依赖解析路径的，只有 require + conflict + alias（即 inline-alias）组合，且仅对使用 dev- 别名或未锁定稳定版本的子包有效。
inline-alias 只在子包 require 中写成 "foo/bar": "dev-main as 1.2.3" 时才起作用
很多人误以为在根项目的 composer.json 里给 require 加 as 就能覆盖子包依赖，其实不是。inline-alias 是子包自己声明的“我这个 dev 分支等价于某个稳定版”，Composer 才会在依赖解析时把它当 1.2.3 看待。根项目无法单方面重写子包的这种声明。
如果你控制子包源码，可修改其 composer.json：
"require": {
"monolog/monolog": "dev-main as 2.10.0"
}
但若子包已发布（如 packagist 上的 acme/logger-bundle），你只能通过以下方式间接干预：
- 用
require强制安装你想要的版本（如"monolog/monolog": "^3.0"），再用conflict阻止子包拉取它不兼容的老版本 - 确认子包是否真用了
dev-引用——只有这时 inline-alias 才参与解析；稳定版本（如"1.2.3"）完全忽略 alias - 运行
composer show -t查看依赖树，确认子包实际 require 的到底是dev-main还是^2.0
用 require + conflict 组合强制统一子包依赖版本
这是最常用、也最可靠的覆盖手段：根项目主动声明想要的版本，并阻止子包引入冲突版本。例如子包要求 "monolog/monolog": "^2.0"，但你想全项目用 v3：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
{
"require": {
"monolog/monolog": "^3.0"
},
"conflict": {
"monolog/monolog": "<3.0"
}
}
这样 Composer 在解析时会拒绝安装任何 monolog/monolog 小于 3.0 的版本，哪怕子包写了 "^2.0" ——因为冲突规则优先级高于子包的 require。
注意点：
-
conflict必须写在根项目composer.json中，子包里的conflict不影响根项目决策 - 如果子包用了
require-dev拉低版本，需额外加minimum-stability和prefer-stable控制整体倾向 - 执行
composer update monolog/monolog时，务必加--with-all-dependencies，否则子包的依赖可能被跳过更新
repositories + package 是最后手段，但极易出错
当你连子包本身都要替换（比如 patch 了它的某行代码），且无法改源、又不能说服维护者发版，才考虑用自定义仓库强制注入修改后的包：
"repositories": [
{
"type": "package",
"package": {
"name": "acme/logger-bundle",
"version": "2.1.0-patched",
"source": {
"url": "https://github.com/you/logger-bundle.git",
"type": "git",
"reference": "patched-v2.1"
},
"require": {
"monolog/monolog": "^3.0"
}
}
}
]
风险很高：
- 必须手动维护
version字符串，且要确保与子包原版本号不冲突（建议加后缀） - 如果原包有 autoload 或 autoload-dev 配置，你得一并复制，漏掉会导致类找不到
-
composer update时可能因哈希不一致报Package acme/logger-bundle has a post-update-cmd script which failed，需检查 vendor 目录权限和脚本路径
真正需要覆盖子包依赖时，优先走 require+conflict；只有当子包硬编码了不可协商的版本（比如 "monolog/monolog": "2.4.0" 这种固定字符串），才考虑 repositories。别名和 inline-alias 不是开关，而是子包自己的语义承诺，根项目没法“覆盖”它，只能绕过它。
