composer的deprecation警告不是错误，而是明确提示api或组件已被弃用，继续使用将承担兼容性与安全风险；需通过-v定位源头、升级composer/插件或清理废弃依赖（如fxp）来解决。
Composer 的 deprecation 警告不是提醒你“这个包快不行了”，而是明确告诉你：“它已被标记为废弃，继续用，出问题你自己担着”。不处理这些警告，等于主动把技术债塞进 CI 流水线和上线前的最后一道门。
为什么 composer install 和 update 会忽略弃用警告
默认情况下，Composer 只在 verbose 模式（-v 或 -vv）下才输出 deprecation 提示；普通执行完全静默。更关键的是：这些警告不阻断命令、不触发非零退出码、也不写入日志文件——除非你主动配置。
- 它不是错误，只是
notice级别提示，和 PHP 的E_USER_DEPRECATED一样被设计成“可忽略” - CI 环境若没加
--no-ansi -v，根本看不到任何废弃信息 - 很多团队把
composer update当作“升级依赖”动作，却从不检查输出里夹杂的十几行Package foo/bar is deprecated: use baz/qux instead
如何让弃用警告真正生效：三步强制拦截
目标不是“看到警告”，而是“不让含高危废弃组件的代码合入主干”。关键在把警告转为可检测、可中断、可归因的行为。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 在
composer.json中启用严格模式："config": { "platform-check": true, "notify-on-install": false }（后者防干扰，前者强化兼容性校验） - 用
composer show --outdated --direct配合grep -i deprecated做预检脚本，失败则exit 1 - 最关键的一步：在
scripts里加自定义钩子，例如："post-update-cmd": "php -r \"if (strpos(file_get_contents('php://stdin'), 'is deprecated') !== false) exit(1);\""—— 这招虽糙但有效，适合快速落地
deprecation 警告背后的真实风险等级怎么判
不是所有废弃都一样。有些只是换了个命名空间，有些则意味着底层协议已停服、签名算法被弃用、或安全补丁不再提供。判断依据必须落到具体组件和上下文。
- 查
packagist.org页面右上角的Abandoned标签：标了就代表维护者已放弃，连 CVE 都不会跟进 - 看警告文案是否含
will be removed in vX.Y或no longer supported after 2025-12-31：这是倒计时，不是建议 - 重点盯住与安全、序列化、加密、HTTP 客户端强相关的包，比如
guzzlehttp/guzzle低于 v7.5、symfony/http-foundation低于 v6.4 —— 它们的废弃往往绑定已知漏洞
替换废弃组件时最容易踩的坑
直接 composer require 新包，不等于问题结束。废弃组件常被深层依赖拉入，而新包未必能无缝替代接口契约。
- 别只改
require，先跑composer depends --tree vendor/old-package，看清谁在偷偷引用它 - 新包若要求 PHP 8.2+，但项目还在 8.0，强行升级会触发
composer update失败，得同步调整config.platform.php - 最隐蔽的坑：旧包可能在
ServiceProviders或EventListeners里注册了全局行为，新包没等价机制，导致功能静默失效 —— 必须结合日志和监控验证行为一致性
真正难的不是找到哪个包被废弃，而是确认“它当前承担的职责，是否已被新方案完整覆盖”。一次替换完成之后，至少要观察三天错误率、慢查询和异常堆栈的变化趋势，否则所谓“清理”，只是把债务从明处挪到暗处。
