不生效。replace是语义替代，声明“已满足”依赖，完全覆盖require中的版本约束，Composer不再安装、更新或验证被replace包的版本，无论是否写有精确版本号。
用 replace 声明虚拟包时，版本锁定是否还生效
不生效。replace 是语义替代，不是版本控制手段。一旦你在 composer.json 的 replace 段声明 "monolog/monolog": "*"，Composer 就认为这个包“已存在”，后续所有依赖检查（包括 composer update、composer install）都不会再尝试安装、更新或验证它的版本——哪怕你同时在 require 里写了 "monolog/monolog": "2.85.0"，这条也会被忽略。
常见错误现象：
- 执行
composer update monolog/monolog后没反应，也不报错 -
composer show monolog/monolog返回 “Package not found” - 项目运行时报
Class 'MonologLogger' not found，但replace配置看起来“应该生效”
根本原因：你没提供真实实现。replace 不等于“假装装了”，而是“承诺已满足”。它要求你自行确保命名空间、类路径、接口行为全部兼容。否则就是自欺欺人。
replace 和精确版本号锁死能一起用吗
技术上可以写，但逻辑上矛盾，不建议混用。
比如这样写：
"require": {
"monolog/monolog": "2.85.0"
},
"replace": {
"monolog/monolog": "*"
}
结果是：require 被 replace 覆盖，Composer 完全无视 "2.85.0" 这个约束。最终行为等价于只写了 replace。
正确配合方式只有一种：用 replace 替代某个包，同时在你自己的实现中硬编码兼容目标版本的 API 行为；若你还想保留原包功能，就别用 replace，改用 conflict + 精确版本锁定来阻止冲突包进入依赖图。
使用场景举例：
- 你维护一个 fork 版本的
guzzlehttp/guzzle，叫myorg/guzzle-fork，并希望它完全替代原版 → 在myorg/guzzle-fork的composer.json里写"replace": {"guzzlehttp/guzzle": "*"}，然后在主项目中require你的 fork，并用"myorg/guzzle-fork": "7.9.0"精确锁定 - 你想彻底禁用
symfony/polyfill-mbstring（因为服务器已启用 ext-mbstring）→ 用"replace": {"symfony/polyfill-mbstring": "*"}，但必须确认所有依赖都不再通过use或class_exists动态调用 polyfill 内部类
为什么 replace 后 composer outdated 仍显示可更新
因为 composer outdated 只扫描 require 列表里的包，不查 replace。它看到你 require 了 "nesbot/carbon": "^2.60"，就照常比对 Packagist 最新版本，完全不知道你已在 replace 里把它“抹掉”了。
这不是 bug，是设计使然：replace 影响的是依赖解析和安装阶段，而 outdated 是纯元数据比对命令。
所以如果你靠 replace 屏蔽某个包，又想避免误更新，唯一可靠做法是：把该包从 require 中彻底删除，只留 replace。否则你会持续收到干扰信息，还可能因手抖运行 composer update vendor/package 触发意外行为。
替换后如何验证实际加载的是哪个实现
最直接的办法是看 vendor/composer/autoload_psr4.php 里有没有对应命名空间映射，再结合 composer show --installed 输出确认。
但更稳妥的是运行时验证：
- 执行
composer dump-autoload -o确保自动加载器刷新 - 写一行调试代码：
var_dump(class_exists('Monolog\Logger')); - 用
ReflectionClass查真实路径：(new ReflectionClass('MonologLogger'))->getFileName()
容易被忽略的点：如果被 replace 的包本身有 autoload-dev 或 scripts，这些不会继承到你的替代实现里。例如原包带 PHPUnit 测试引导脚本，你替换了却没同步，composer test 就会失败——replace 不传递行为，只解除依赖绑定。
