确认孤儿包的方法是：检查 composer.json 中无该包声明，运行 composer depends package-name 返回空，则为孤儿包；因它未被显式 require，故 composer remove 无效，需通过更新其上游依赖来自然移除。
直接删 vendor 里的包不行，Composer 不认；用 composer remove 又报错“package not found”——因为那包根本没在 composer.json 里声明，只是被其他包拉进来的“孤儿包”。真正有效的办法只有一个：先定位它是不是真孤儿，再用 composer why-not 和 composer depends 追根，最后靠 composer update 精准剔除。
怎么确认一个包是孤儿包（不是显式 require 的）
孤儿包指未在 composer.json 的 require 或 require-dev 中直接声明，却出现在 vendor/ 下的包。常见于早期手动 composer require xxx 后又删了配置行，或依赖树升级残留。
- 检查
composer.json：搜索包名（如monolog/monolog），确认不在require和require-dev字段中 - 运行
composer show --installed | grep "package-name"，看是否在已安装列表里 - 关键验证：执行
composer depends package-name（例如composer depends symfony/polyfill-mbstring）。如果返回空，说明没有包依赖它 → 很可能是孤儿；如果返回依赖链，则它是被需要的间接依赖
为什么 composer remove 对孤儿包无效
composer remove 只操作 composer.json 声明的包，并同步卸载其依赖。孤儿包不在 composer.json 里，所以命令会报 [InvalidArgumentException] Package "xxx" is not required in your composer.json. ——这不是 bug，是设计如此。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 强行删
vendor/package-name目录？下次composer install或composer update会立刻恢复，甚至可能破坏 autoload - 改
composer.lock手动删条目？风险极高，hash 校验失败、autoload 失效、CI 构建中断都可能发生 - 正确路径是：让它“自然消失”，即让依赖它的上游包不再拉取它
实战清理：三步定位 + 一次 update 解决
核心逻辑：孤儿包之所以存在，是因为某个已声明的包（比如 laravel/framework）在某个版本里依赖它；只要更新那个上游包到不带该依赖的版本，Composer 就会自动丢弃孤儿包。
- 第一步：找出谁在“偷偷”拉它 →
composer depends --tree package-name（加--tree看完整依赖路径） - 第二步：查这个上游包当前用了哪个版本 →
composer show upstream-package，注意看versions和requires字段 - 第三步：尝试升级上游包 →
composer update upstream-package --with-dependencies，然后检查vendor/是否还剩目标包 - 如果上游包不能升（比如 Laravel 主版本卡死），可加
"minimum-stability": "stable"到composer.json并运行composer update --dry-run预览变化，避免意外升级
容易被忽略的两个细节
一是 composer why-not 的误用：它只回答“为什么不能装某版本”，对清理孤儿包无直接帮助；二是 composer outdated 显示的“可更新包”里，有些更新后反而会引入新孤儿包（比如旧版 guzzlehttp/guzzle 依赖 psr/http-message，新版改用 psr/http-client，旧包就变孤儿了）。
最稳的操作永远是：先 composer depends 锁定父级，再结合 composer show upstream-package:version 查它的 composer.json 原始依赖声明，最后用 update 推动依赖树收敛。自动工具（如 composer-unused）能辅助扫描，但最终决策必须人工验证依赖链。
