依赖瘦身核心是让composer“忘记”未被代码真正使用的包，需用composer-unused插件静态扫描use语句、autoload声明及依赖关系，结合手动验证动态引用与框架契约，再辅以部署时定向清理冗余文件。
依赖瘦身不是删 vendor 目录，而是让 Composer 自己“忘记”那些没被代码真正用到的包。手动删文件、硬改 composer.json、只靠 --no-dev 都会漏掉大量冗余——比如被 require-dev 包间接拉进来的 psr/log，或只在 phpunit 测试里用过一次的 faker 实例。
怎么确认一个包到底有没有被用到？
靠眼睛扫 use 语句不现实，PHP 动态加载、字符串类名、注解、配置文件里的类引用都容易漏。最可靠的是用 composer-unused 插件做静态扫描：
- 先装插件：
composer require --dev composer-unused/composer-unused - 运行：
composer unused，它会列出所有未被use、未在autoload.files中声明、且不是其他保留包必需依赖的包 - 重点看输出里是否包含
psr/log、symfony/polyfill-*、doctrine/instantiator这类“看起来很基础但实际可能没用”的包 - 对每个疑似冗余包，全局搜索
class_exists('Some\Class')、'Some\Class'（带单引号）、config/下的类名字符串，再检查app/Providers/是否注册了对应服务提供者
为什么 composer remove 有时会失败？
不是命令有问题，是 Composer 在保护你——它拒绝卸载“仍被其他已安装包依赖”的包。典型报错：Package "monolog/monolog" is not required in your composer.json。这意味着它只是个传递依赖，删它得先查源头：
- 用
composer why-usage monolog/monolog（Composer 2.4+）或composer depends monolog/monolog（旧版），看谁在拉它 - 如果只被
phpunit/phpunit引用，而你又用了--no-dev，那它本就不该出现在生产 vendor 里；但如果它同时被laravel/framework和guzzlehttp/guzzle拉入，就得谨慎评估 - 别直接删
composer.json里的条目后跑composer install——这会让composer.lock与实际依赖脱节，下次composer update可能意外升级或降级其他包
哪些包最容易被误判为“冗余”？
有三类包常被扫出来却不能乱删：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
symfony/polyfill-*：看似只是兼容层，但很多核心组件（如symfony/console、laravel/framework）在低版本 PHP 上靠它提供函数，删了会直接Fatal error -
psr/container、psr/simple-cache：Laravel、Symfony、Zend 等框架的 Contracts 契约接口，即使你没显式use，框架内部也在用 -
myclabs/deep-copy或doctrine/instantiator：phpunit 的底层依赖，但如果你用了@dataProvider或 mock 深拷贝对象，删了测试就挂
判断依据不是“我有没有写 use”，而是“框架启动时、服务容器解析时、测试运行时会不会调用它”。最稳妥的做法：删之前先跑一遍 php artisan tinker（Laravel）或 php -d display_errors=1 -r "var_dump(class_exists('Psr\Container\ContainerInterface'));"，验证关键接口是否存在。
部署时 vendor 还是太大？重点清理这三处
composer install --no-dev 只解决“不该装的没装”，不解决“装了但不该留的文件”。真正占体积的是包内部的非运行时内容：
- 删 Git 元数据：
find vendor/ -name ".git" -type d -exec rm -rf {} + 2>/dev/null（有些 dist 包仍含 .git） - 删文档和变更日志：
find vendor/ -name "*.md" -o -name "*.txt" -o -name "README*" -o -name "CHANGELOG*" -delete - 删测试目录（慎用）：
find vendor/ -path "*/tests" -o -path "*/Tests" -o -path "*/test" -o -path "*/Test" -type d -exec rm -rf {} + 2>/dev/null—— 但注意monolog/monolog的 handler 示例在tests/下，删了会导致StreamHandler加载失败
更安全的长期方案是配置 archive.excludes，在 composer.json 的 config 下加："archive": {"excludes": ["/tests/", "/docs/", "/examples/", "/.github/"]}，这样每次 install 都不会解压这些路径。
