composer 没有 prohibits 命令，它只是错误信息中的描述词；真正用于排查依赖冲突的官方命令是 composer why-not，配合 depends、show --tree、check-platform-reqs 和 update --dry-run 等可全面定位问题根源。
Composer 没有 prohibits 命令，运行它会直接报错：Command "prohibits" is not defined。所有稳定版 Composer（v2.2–v2.7）均不支持该命令——它是个广泛流传的误解，不是功能缺失，而是根本不存在。
为什么你总看到“composer prohibits”？
这是错误信息里的关键词，不是命令本身。当你执行 composer require 或 composer update 失败时，Composer 的报错输出中可能出现类似这样的句子：
monolog/monolog 2.9.0 requires php ^8.0, but you have php 7.4.33
或
package-a v1.2.0 prohibits package-b v3.0.0
这里的 “prohibits” 是 Composer 在描述**依赖解析失败的原因**，表示某个已安装/已声明的包通过其版本约束、PHP 要求或 conflict 字段，明确排除了目标版本。它不是你可以敲的命令。
真正该用的命令是 composer why-not
这是 Composer 官方提供的、功能等价且稳定的替代命令，用于精准定位“谁在阻止某个包安装”：
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
-
composer why-not monolog/monolog:^3.0→ 显示所有与该版本不兼容的已安装包及其约束链 -
composer why-not guzzlehttp/guzzle:8.0.0→ 不带^可查具体版本是否被封杀 - 加
--verbose（如composer why-not --verbose vendor/pkg:ver）能看到更底层的 SAT 解析尝试过程
注意：如果 why-not 输出为空，并不意味着能装上——可能只是当前锁文件里没相关包，但 composer.json 中的 config.platform、PHP 版本、扩展缺失或 minimum-stability 策略仍在暗中拦截。
配合使用的几个关键命令
单靠一个命令无法覆盖全部冲突场景，这几个必须组合使用：
-
composer depends vendor/package→ 查谁在 require 这个包（反向溯源，确认是不是你自己项目或某 SDK 强制绑定了旧版） -
composer show --tree | grep -A5 -B5 package→ 快速扫描当前已安装依赖树中该包出现的位置和版本 -
composer check-platform-reqs→ 验证 PHP 版本、扩展（如ext-gd）是否真实满足目标包要求 -
composer update --dry-run -v→ 预演更新，看解析器卡在哪一层、反复回退哪几个包
特别注意：composer show -t 只显示已安装的树，对未安装/冲突包不敏感；而 composer prohibits 不存在，别再把它当真命令去试。
容易踩的坑：你以为在查冲突，其实是在绕过约束
很多人在报错后第一反应是删 vendor/ 和 composer.lock，然后重装——这相当于放弃诊断，直接重来。结果往往是：
- 新生成的
composer.lock仍含隐式冲突（比如平台配置不匹配），下次更新又崩 - 盲目
composer update可能升级出不兼容主版本（如 Laravel 10 升到 11），引发运行时错误 - 用
--ignore-platform-reqs绕过 PHP 或扩展检查，上线后直接报 500
真正卡住的，从来不是某一条“禁止语句”，而是多个约束叠加后形成的无解交集。盯住 why-not 输出的第一行结论，再顺藤摸到 composer.json 里那个写死的 "monolog/monolog": "1.25.0"，比反复试命令管用得多。
