Composer没有一键清除未声明包的原生命令，安全做法是删除vendor和composer.lock后运行composer install强制重建依赖，确保与composer.json完全一致。
Composer 没有“一键清除所有未在 composer.json 中声明的包”的原生命令——这是个常见误解。所谓“未声明的包”，通常指被手动 require 过但后来删了 composer.json 里的条目，又没运行 composer update 或 composer install 的残留；或者直接用 composer require 临时装过但没提交 JSON 的包。真正安全、可靠的做法不是“清理未知”，而是“强制对齐”。
为什么不能靠 composer remove 批量清理？
composer remove 必须显式指定包名，不支持通配符或自动探测“多余包”。它只作用于 composer.json 中已声明但你想删掉的依赖，而不是反向扫描 vendor 目录找“孤儿包”。强行遍历 vendor/ 并比对 JSON 是危险的：可能误删被其他工具（如插件、脚本）间接依赖的包，或删掉被 replace 规则覆盖但仍需存在的包。
最稳妥的替代方案：用 composer install --no-dev 强制重置
前提是你的 composer.json 是当前真实依赖的唯一权威来源（即没有手动改过 vendor/，也没用 --ignore-platform-reqs 等绕过约束）。执行以下操作可确保 vendor/ 与 composer.json 完全一致：
DMap GL地图JSAPI（dmapgl）开发指南。用于编写、审查、调试 DMap 地图 API 代码，涵盖地图初始化、覆盖物渲染、图层管理、事件处理、控件交互等任务。当用户提及 dmap、dmapgl、jsapi‑gl 或相关地图开发需求时自动触发。
- 先确认
composer.json已提交最新状态（尤其检查require和require-dev区块） - 删除整个
vendor/目录和composer.lock（注意：lock 文件删了会丢失精确版本锁定） - 运行
composer install—— 它会按composer.json重新拉取所有依赖，不多不少 - 如果只想保留生产环境依赖，用
composer install --no-dev
这个过程不是“清理”，而是“重建”，结果确定、可复现、无副作用。
想快速识别哪些包可能“多余”？用 composer show --installed 对比
没有命令能 100% 判断某个包是否“多余”，但你可以人工筛查可疑项：
- 运行
composer show --installed查看当前所有已安装包及其版本 - 对照
composer.json的require和require-dev字段，找出不在其中却出现在列表里的包 - 特别留意名字带
-dev、alpha、beta的包，或明显是工具类（如phpunit/phpunit却没在require-dev中） - 注意：有些包是子依赖（transitive dependency），即使没直接 require，也会因其他包需要而存在——不能仅凭“没在 JSON 里”就认定多余
真正容易被忽略的是 lock 文件和平台配置的影响：比如 composer install 在不同 PHP 版本下可能解析出不同依赖树，此时仅看 composer.json 不足以判断“多余”。
