Composer 无法自动阻断高危弃用组件，因弃用警告是 PHP 运行时行为，需通过 CI 中强制触发警告、精准定位源头、脚本拦截三步链实现阻断。
Composer 自定义源本身不提供“自动阻断高危弃用组件”的能力——弃用（E_DEPRECATED）是 PHP 运行时行为，不是 Composer 的解析或安装阶段可拦截的信号。所谓“自动阻断”，必须靠组合手段在构建链路中卡点，否则只会静默输出警告，直到上线后某天 PHP 升级直接报错。
为什么 composer install / update 从不因 deprecated 报错
因为 deprecated 是 PHP 解析器在执行代码时触发的运行时通知（E_DEPRECATED），而 Composer 只负责下载、解压、生成 autoloader。它既不执行依赖代码，也不开启 PHP runtime。你看到的 warning 全部来自后续命令（如 php artisan tinker、composer dump-autoload -v 或 CI 中跑的 php -l）。
- Composer 不会、也不能在
install阶段扫描 vendor 里所有.php文件去查each()、mysql_connect()等废弃调用 - 自定义源（如私有 Packagist 镜像）只改下载地址，不改包内容，更不会注入检测逻辑
- 所谓“阻断”，实际是让构建流程在发现弃用调用时提前失败，而不是等 PHP 版本升级后炸现场
真正能卡住 deprecated 的三步实操链
必须串联三个环节：强制触发 + 定位源头 + 拦截流程。缺一不可。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
第一步：让构建过程主动暴露弃用警告 —— 在 CI 脚本中用
php -d error_reporting=E_ALL composer update -v替代裸composer update，确保所有Deprecated:行被打印出来 -
第二步：精准定位哪个包/哪行在调用废弃函数 —— 对输出做
grep -A2 -B2 "Deprecated"，拿到文件路径后，用composer depends vendor/package-name查谁拉进了它；若路径指向插件，加--no-plugins再试一次 -
第三步：在 CI 中强制失败 —— 把上述命令封装成 shell 脚本，末尾加
if grep -q "Deprecated" build.log; then exit 1; fi；不要依赖 Composer 自身返回码，它永远是 0
自定义源能做的唯一加固：签名验证 + allow-plugins 白名单
自定义源（如 Satis、Private Packagist）无法识别废弃 API，但能防止恶意包冒充合法包混入——这才是它该干的事。
- 启用源签名：在
composer.json中设"config": {"secure-http": true, "signature-verification": true}，并确保自定义源提供packages.json的 GPG 签名 - 关掉插件执行权：
"config": {"allow-plugins": {"*": false}}，再显式授权你真用得着的（如"symfony/flex": true），避免某个 transitive 依赖偷偷加载废弃插件并执行废弃函数 - 禁止跳过验证：
composer install --no-plugins --no-scripts --no-dev --prefer-dist必须写死在部署脚本里，--no-plugins位置不能错（必须紧跟install，不是全局 flag）
真正麻烦的不是找不到 deprecated，而是修复时发现那个废弃包已被作者标记为 abandoned，且替换包的命名空间和方法签名全变了——这时候光换 composer require 没用，autoload 映射、use 语句、参数结构都得同步动。别省这一步。
