直接结论：别删 vendor 或 composer.lock，先跑 composer why-not 定位阻断链——90% 的冲突靠它 3 分钟内定位到根因。它从目标版本逆推依赖图，输出真实阻断链，每行末尾的 (required by ...) 指向向上追溯起点，真正卡死的包常在中间层（如 spatie/laravel-backup v7.2.0 requires symfony/console ^5.4）；输出为空说明版本未发布或输入错误（如误用 ^11.0 而非 laravel/framework:11.0.0）。
直接结论：别删 vendor 或 composer.lock，先跑 composer why-not 定位阻断链——90% 的冲突靠它 3 分钟内定位到根因。
为什么 composer why-not 是第一反应
报错里那句 Conclusion: don't install laravel/framework:v11.0.0 不是提示，是数学结论：当前所有约束下无解。但错误信息不告诉你谁在拦。
-
composer why-not laravel/framework:v11.0.0会输出一条「拒绝链」，从最后一行（你的composer.json根声明）往上倒推 - 关键看每行末尾的
(required by ...)，那是向上追溯的起点；真正卡死的包往往在中间某层，比如spatie/laravel-backup v7.2.0 requires symfony/console ^5.4 - 如果输出为空，说明该版本根本没发布，不是冲突，是输错了版本号（比如写
^11.0而不是laravel/framework:11.0.0） -
composer depends只查“谁依赖我”，不带版本限制，对冲突排查无效
怎么用 composer show --tree 揭露真实依赖结构
它展示的是 composer.lock 和 vendor/ 的快照，不是你 composer.json 里写的理想状态——很多冲突藏在第二、三层。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
composer show --tree | grep "symfony/console"，能直接看到它被谁引入、路径多深、是否标了(locked to 5.4.32) - 如果同一包被多个路径引入不同版本（比如
symfony/console同时出现在laravel/framework和phpunit/phpunit下），就是典型间接冲突源 - 看到
(replaced)或(provided)标记，立刻去对应包的composer.json查replace字段，确认是否真能等价替代 - Composer 2.5+ 已移除
--tree，改用composer show --format=tree
composer update 时怎么避免连锁变更
全量 composer update 是最危险的操作之一：它会重算整个依赖树，可能把 symfony/event-dispatcher 从 v6.x 回退到 v5.4，只因为某个旧版 monolog/monolog 的路径更“易满足”。
- 升/降级单个包，必须加
--with-dependencies：composer update monolog/monolog --with-dependencies - 不加这个参数，Composer 默认拒绝更新任何“非必要”的子依赖，常直接报
Your requirements could not be resolved - 跨主版本降级（如
guzzlehttp/guzzle从^8.0切回7.4.5），必须显式写死版本："guzzlehttp/guzzle": "7.4.5"，不能写"^7.0"——避免选到7.9.0这类不兼容小版本 - 执行后立刻
git diff composer.lock，确认只有预期包及其直系依赖被改动；多改一个symfony/polyfill-*都可能埋隐患
私有包和 dev-main 带来的“伪冲突”
写 "my/private-package": "dev-main" 看似省事，实则把版本控制权交给了 Git 分支 HEAD。一旦 main 推了新 commit，composer update 就可能拉一个完全没测过的版本进来。
- 正确做法：打轻量 tag（
git tag v1.2.3 && git push origin v1.2.3），然后require改成"my/private-package": "^1.2" - 真要临时用分支，至少锁 commit：
"my/private-package": "dev-main#abc1234"，否则composer.lock记的只是 hash，下次 install 可能 fallback 到另一个 hash -
alias字段不解决这个问题：dev-main只影响 autoload 和版本解析逻辑，不阻止 Composer 拉新 commit - CI 中禁用
composer.lock（比如误写composer update而非composer install）会导致每次构建拉取最新匹配版本，哪怕只是monolog/monolog从2.8.0升到2.8.1，也可能因日志格式微调引发告警误报
复杂点在于：冲突往往不是单点问题，而是多个约束在深层依赖中形成的无交集区域；最容易被忽略的是 require-dev 里的包（比如 phpunit/phpunit），它们默认参与解析，却常被当成“开发工具”而忽略其版本要求。
