Package xxx is abandoned 是警告而非错误，exit code 为0；应通过 composer show、Packagist 页面和 composer.lock 三者交叉验证废弃状态，再根据安全风险、PHP兼容性及依赖链决定是否替换、如何替换或临时压制。
看到 Package xxx is abandoned 报错，说明 Composer 已确认该包被作者标记为废弃，但安装本身不会失败——它只是 warning，exit code 仍是 0。你真正要做的不是“修复报错”，而是判断：这个包还能不能用、要不要换、怎么换才安全。
怎么确认这个废弃警告是不是真的
别信终端里那行黄色提示里的 “Use xxx instead” ——它只是原样抄了 Packagist 上的字段，可能过时、模糊（比如只写 psr/log），甚至为空。最准的方式是：
- 运行
composer show vendor/name，看输出里有没有abandoned和replaced by字段 - 直接打开 https://www.php.cn/link/94953b1a99c64501ceb078724697224f，看右上角有没有「Replaced by」横幅（这是唯一权威来源）
- 查
composer.lock文件：运行grep -A1 -B1 '"abandoned"' composer.lock，有输出才代表当前锁文件记录了废弃状态 - 镜像源（如阿里云）可能缓存旧元数据，怀疑误报就切回官方源验证：
composer config -g repo.packagist composer https://packagist.org
废弃包还能不能继续用
能，但不推荐长期用。废弃只代表作者停止维护，不代表立刻崩溃。是否要动，取决于：
- 你是否用了该包里已知有漏洞的功能（比如旧版
monolog/monolog的反序列化风险） - 你的 PHP 版本是否已超出该包支持范围（如废弃包只兼容 PHP 7.2，而你用的是 8.2）
- 该包是否被其他依赖间接引入（
composer why vendor/name可查）——如果是，替换成本可能远高于直接升级 - 替代方案是否稳定发布、API 是否兼容（比如
mpdf/mpdf-composer已下架，必须换mpdf/mpdf，且需处理命名空间和字体加载）
不想马上换？先压制警告并锁定风险
生产环境不能贸然升级时，不要靠 --ignore-platform-reqs 掩盖问题，而是用 replace + conflict 显式声明意图：
{
"replace": {
"vendor/abandoned-package": "1.2.3"
},
"conflict": {
"vendor/abandoned-package": ">=1.3.0"
}
}
这样既 suppresses 警告，又防止意外升级到更高（更不稳定）版本；同时 composer install 仍会下载指定版本，不影响构建一致性。
清理本地缓存时最容易踩的坑
composer clear-cache 不识别“废弃包”，它只会清空整个 cache/files/ 目录。误删会导致下次 install 失败（报 Could not fetch 或 404）。真要清理废弃相关缓存，必须：
- 先汇总所有项目
composer.lock中实际引用的包名+版本（可用jq -r '.packages[] | "\(.name) \(.version)"'） - 再进
~/.composer/cache/files/（Windows 是%APPDATA%\Composer\Cache\files），只删那些**完全没被任何 lock 文件引用**的.zip文件 -
cache/vcs/可安全整删，但cache/files/里删错一个正在用的 zip，就会拖慢后续 install，尤其大包（如laravel/framework）
废弃状态不是缓存问题，而是语义判断——你得自己比对 lock 文件、Packagist 页面和代码实际调用，才能决定删不删、换不换、压不压。
