Composer依赖死锁是解析器无法满足所有约束而直接报错退出，典型错误为“root requirements could not be resolved”；应优先用composer why-not定位冲突包，检查conflict/replace误用及stability策略拦截，而非删lock或盲目更新。
不是升级本身出问题，而是 Composer 在解析新旧约束时找不到满足所有条件的版本组合——它会直接报错退出，不重试、不降级、不提示替代路径。
composer update 报 “root requirements could not be resolved” 怎么快速定位
这是死锁最典型的错误输出，本质是 Composer 尝试遍历所有可能的版本组合失败。别急着删 composer.lock 或改约束，先做三件事：
- 运行
composer why-not package/name version（比如composer why-not monolog/monolog ^3.0），它会明确告诉你哪个包在阻止升级——常是某个间接依赖锁死了psr/log的版本 - 检查
composer.json中是否存在宽泛的conflict规则，例如"conflict": {"php": "8.3.*"}，而你本地 PHP 是 8.3.5；这种写法会把整个 8.3 分支全拦住，实际应写成"conflict": {"php": "8.3.0", "php": "8.3.1", "php": "8.3.2"}或直接删掉 - 确认有没有
replace字段误用：比如你写了"replace": {"old/package": "*"}，但old/package实际被另一个包通过provide声明为能力依赖，此时 Composer 会因“身份冲突”放弃解析
为什么加 --with-dependencies 有时反而让死锁更难解
composer update --with-dependencies 不是“智能连带更新”，而是强制把目标包的所有上游依赖也纳入当前解析范围。在复杂项目中，这相当于把原本隔离的子图拉进主图，大幅增加组合爆炸风险。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 常见错误现象：单独
composer update guzzlehttp/guzzle成功，但加了--with-dependencies就报错。原因往往是某个上游包（如psr/http-client）同时被 Laravel 和 Symfony 组件引用，且两者要求的版本范围互斥 - 实操建议：优先用
composer update package/name --with-all-dependencies（注意是--with-all-dependencies，不是--with-dependencies），它只更新该包及其直系依赖，不触碰更上层 - 若必须连带更新，先用
composer show package/name查清它的require列表，再手动逐个update，比一次性全量更可控 - 对 Laravel 项目，避免对
illuminate/*批量更新——它们内部强耦合，illuminate/support升级后，illuminate/database可能因未同步而触发死锁
dev-main / dev-develop 被锁死导致无法 install 怎么破
当 composer.json 里写了 "vendor/package": "dev-main"，而该包在 Packagist 上没打任何 tag，Composer 就无法确定一个可锁定的稳定版本，求解器会在多个 dev-main 提交间反复试探，最终超时或卡死。
- 临时方案：把
"dev-main"改成具体 commit hash（如"dev-main#abc1234"），让 Composer 有唯一锚点 - 长期解法：联系包维护者发布正式 tag；或 fork 后自己打
v1.0.0类标签并指向对应分支 - 若该包是你自己的私有库，确保其
composer.json中"minimum-stability"设为"dev"，且"prefer-stable": true已启用，避免意外拉入不稳定快照 - CI 环境中尤其要注意：Git 深度克隆可能丢掉
dev-main引用的远端分支，导致composer install失败；建议显式 fetch：git fetch origin dev-main
真正棘手的不是报错信息本身，而是那些没出现在 Problem 1 里的隐性约束——比如 platform 配置伪造的 PHP 版本、conflict 字段误伤无辜包、或是 require-dev 里某个测试工具悄悄拉低了主依赖上限。这些地方一旦忽略，重装十次 vendor 也没用。
