最准方式是直接查composer.lock文件，因其中abandoned字段为唯一写死证据；grep -A1 -B1 '"abandoned"' composer.lock可快速定位废弃状态，而composer outdated或安装日志易被忽略、缓存延迟或级别过低导致漏报。
直接查 composer.lock 最准，别等安装时看 warning —— 那行提示常被日志淹没，且镜像缓存可能延迟或漏报。
为什么不能只信 composer outdated 或安装日志
它默认不扫描 require-dev 和传递依赖，比如 phpunit/phpunit 被废弃了，composer outdated 可能完全不提；安装时的 is abandoned 提示是 notice 级别，exit code 为 0，CI 脚本里 && 不会中断，还容易被重定向吞掉。更麻烦的是，国内镜像（如阿里云）缓存元数据，Packagist 上已标废弃，你本地却没警告。
- 用
composer config -g repo.packagist composer https://packagist.org切回官方源验证是否真漏报 -
composer outdated --all才能看到所有已安装包的状态，但依然不显示abandoned字段 - 真正权威的废弃状态，只存在于
composer.lock的快照中 —— 它不会骗人
查 composer.lock 的三种实操方式
打开终端，进项目根目录，执行：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
grep -A1 -B1 '"abandoned"' composer.lock：最轻量，输出带上下文，一眼看出是true还是替换成"monolog/monolog" -
composer show monolog/monolog：若输出含abandoned : true或replaced by : php-monolog/monolog，就是确认废弃 -
composer depends monolog/monolog：查清楚是你的项目直接 require 的，还是被laravel/framework这类间接拉进来的；后者不能直接remove，得等上游升级
看到 replaced by 就能直接换吗
不能。这个字段只是作者填的字符串，可能过时、模糊，甚至指向另一个已废弃的包。唯一可信来源是打开 https://www.php.cn/link/6daab15a4f57549b7f236d7f0cfca3c8，看右上角「Replaced by」横幅 —— 那里有时间戳和维护者确认。
- 替换前先检查新包的
autoload：比如从Monolog\换成PhpMonolog\，就得全局搜use Monolog\并手动改命名空间 - 看新包
composer.json里有没有"replaces": {"monolog/monolog": "^2.0"}；没有这个字段，就别假设“无缝” - 跑
composer dump-autoload -o后必须跑单元测试，尤其验证日志写入、上下文传递、处理器链行为是否一致
废弃包不是“还能用就行”，而是“下次 PHP 升级或安全审计时大概率崩”。composer.lock 里的 abandoned 字段是唯一写死的证据，其他都是缓存、猜测或过期信息。别跳过这一步，也别靠眼睛扫日志 —— grep 一行命令，三秒出结果。
