依赖地狱本质是版本约束间的逻辑矛盾，sat求解器穷尽路径后判定无解；应定位冲突对、用why-not查拦路者、show--tree找中间受害者，优先绕开而非硬解。
依赖地狱不是包坏了，是你的版本约束之间存在逻辑矛盾——Composer 的 SAT 求解器已经穷尽所有组合后放弃。硬删 vendor/ 或强改 composer.lock 通常让问题更糟，真正有效的动作是定位冲突源头、看清谁在卡谁。
看懂报错里真正的“冲突对”
Composer 报错中反复出现的 don't install vendor/package v2.0 或 Root composer.json requires vendor/other ^3.0, but that version conflicts with...，本质是两个（或多个）包对同一个依赖提出了无交集的版本要求。
重点抓三处信息：
- 哪两个包在争同一个依赖，比如
monolog/monolog和symfony/console都拉它，但一个要^1.25，一个要^2.10 - 是否夹带平台限制，如报错含
require php ^8.0，而你本地是 PHP 7.4 - 运行
composer update --dry-run -v，它会输出完整解析路径，告诉你“第几步被some/package卡死”
用 composer why-not 定位拦路者
composer why-not 是最接近真相的命令，它不猜，只列事实：谁在阻止你装某个版本。
例如你想装 laravel/breeze:^2.0 却失败，就执行：
composer why-not laravel/breeze:2.0
输出类似：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
laravel/framework 9.52.15 requires symfony/console (^6.0) phpunit/phpunit 10.5.10 requires symfony/console (^5.4 || ^6.0) your-project - requires symfony/console (^5.4)
说明真正拦路的是你项目里写的 "symfony/console": "^5.4" —— 它把整个树锁死在 v5，导致 v6 生态进不来。
这时候该改的不是 laravel/breeze，而是你自己的 composer.json 中对 symfony/console 的约束。
靠 composer show --tree 找出“中间受害者”
重复出现的包（如 guzzlehttp/psr7 出现两次，一次 v1.x、一次 v2.x）是典型信号：有间接依赖没对齐，某个上游包悄悄降级了核心组件。
执行 composer show --tree 后重点关注：
- 带
(required by ...)标注的行，顺着它往上看三层，冲突源头往往藏在第三层依赖里 - 标为
dev-main或dev-develop的包，它们没有语义化版本锚点，每次update都可能漂移 - 如果
psr/log或symfony/polyfill-*频繁出现在冲突链里，大概率是 PHPUnit、PHPStan 这类 dev 工具和框架主版本错配，跟业务代码无关
别硬解，优先隔离或降级兼容
多数真实场景下，“完美解”不值得花半天时间。更快的解法是绕开，而不是攻克：
- 想用
laravel/breeze但和当前 Laravel 版本冲突？查 Packagist，改用composer require laravel/breeze:^1.26（Laravel 9 兼容版），而非硬上 v2.x - 需要
rector/rector却被项目依赖卡住？用composer create-project rector/rector rectortool --no-dev独立安装，再通过路径调用：php rectortool/bin/rector process src/ --config rector.php - CI 构建因缓存失败？在脚本开头加
composer clear-cache和composer update --prefer-dist --no-interaction，避免本地残留污染远程环境
复杂点在于：composer.lock 锁定的是快照，不是安全承诺。它不会自动识别过时或已知漏洞的传递依赖——定期运行 composer audit（需 Composer 2.5+）或第三方工具扫描才是必要动作。
