应使用结构化输出避免 grep 误匹配，推荐 composer show --format=json | jq -r 'keys[]' | grep "^vendorname/"，无 jq 时用 composer show --no-ansi | awk '{print $1}' | grep "^vendorname/"
composer show 输出格式不固定，直接 grep 容易漏包
Composer 的 composer show 默认以“包名 → 版本”两列对齐方式输出，但实际会因包名长度不同自动调整空格数量，导致用 grep "vendorname/" 时可能匹配到其他包（比如 myvendor/foo 和 othervendor/myvendor-bar 都被误中）。更稳妥的方式是先用 --format=json 输出结构化数据，再用 jq 或 awk 精确提取。
- 推荐命令：
composer show --format=json | jq -r 'keys[]' | grep "^vendorname/" - 若没装
jq，可用composer show --no-ansi | awk '{print $1}' | grep "^vendorname/"——--no-ansi关闭颜色控制符，避免干扰字段分割 - 注意：某些旧版 Composer（--format=json，此时必须依赖
--no-ansi+ 字段位置解析
批量卸载指定厂商所有包时，--no-update 不能省略
直接执行 composer remove vendorname/package-a vendorname/package-b 看似可行，但若手动拼包名容易漏或错。更安全的做法是生成包列表后传给 composer remove，但必须加 --no-update 参数，否则每次 remove 都触发完整依赖解析，极慢且可能意外升级其他包。
- 正确流程：
composer show --format=json | jq -r 'keys[]' | grep "^vendorname/" | xargs composer remove --no-update -
xargs默认一次传全部参数，若包数量超 shell 限制（如 macOS 默认约 2048），可加-n 10分批：... | xargs -n 10 composer remove --no-update - 执行前建议先
git status确认composer.lock未被修改，避免 remove 中断后锁文件状态不一致
更新厂商包时，avoid-x-update 不是万能解
想只更新某厂商的包（如 monolog/monolog、monolog/psr-log-bridge），但 composer update vendorname/* 在 Composer 2.2+ 才支持通配符，老版本会报错。即便支持，也存在隐性风险：依赖树中该厂商包被其他包 require，而 update vendorname/* 可能跳过这些间接依赖。
- 安全做法：先
composer show vendorname/* --direct-only拿到显式声明的包，再逐个composer update vendorname/pkg --with-dependencies - 若需强制跳过某些子依赖更新，可用
--ignore-platform-reqs，但仅限调试，生产环境慎用 - 特别注意：
composer update vendorname/*不会更新vendorname/subpackage被其他包 require 的版本，除非它也在composer.json的require里显式列出
管道过滤后执行命令，务必验证 exit code
用管道串联 composer show | grep | xargs composer remove 时，如果 grep 没匹配到任何包，xargs 会收到空输入，进而执行 composer remove 无参数——这会清空整个项目依赖。这不是 bug，是 xargs 默认行为。
- 防御写法：
composer show --format=json | jq -r 'keys[]' | grep "^vendorname/" | grep -q . && xargs -r composer remove --no-update，其中grep -q .确保有输出才继续 -
-r是xargs的安全开关，空输入时直接退出，不执行后续命令 - 复杂场景建议写成小脚本，开头加
set -e，并在关键步骤后加echo "Removed $(wc -l) packages"留痕
实际操作中，最常被忽略的是 composer show 的输出是否包含 dev 包（如 vendorname/pkg dev-main），这类包默认不会出现在 show 结果里，除非加 --all 参数。不加的话，批量管理会漏掉正在开发中的依赖。
