composer没有“自动识别并删掉所有无效依赖”的安全命令；必须先用composer depends验证是否被其他包依赖，再用composer-unused（需--scan-path等参数适配项目结构）扫描代码调用，动态加载和配置引用须人工grep验证，批量删除应使用原子性command composer remove pkg1 pkg2。
Composer 没有“自动识别并删掉所有无效依赖”的安全命令；所谓无效，必须分两层验证：是否被声明、是否被代码真正使用。直接跑 composer remove 或删 vendor/ 都可能破坏 autoload 或引发运行时错误。
怎么确认一个包真的没被任何地方引用
不能只看它是否出现在 composer.json 的 require 里——间接依赖和运行时加载都可能让它“暗中生效”。
- 先查它是否被其他已安装包依赖：
composer depends vendor/package。如果返回空，说明没有上游包显式 require 它 - 再确认它是否在当前项目代码中被实际调用：
composer-unused扫描最可靠（需先装：composer require --dev composer-unused/composer-unused） - 注意扫描范围：
composer-unused默认只扫src/，若业务逻辑在app/或lib/，要加--scan-path=app；测试里用的包得加--scan-tests - 动态类名（如
new $className）、配置文件中的字符串反射（如'monolog/handler/stream'）、class_exists()调用，composer-unused均无法捕获，得人工 grep 和运行验证
批量删包为什么必须用 composer remove pkg1 pkg2 而不是循环调用
composer remove（Composer 2.5+）是原子操作：一次性更新 composer.json、composer.lock、autoload 映射，并触发卸载脚本。失败则全部回退，不会出现“删了一半、autoload 还指着旧路径”的状态。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 多个包名用空格分隔，不要加引号或逗号：
composer remove spatie/laravel-permission laravel/sanctum nunomaduro/collision - 如果其中某个包被其他已装包依赖，命令会报错并中止，其余包不会误删
- 老版本 Composer（remove，可用
composer require vendor/package:（末尾冒号）替代，兼容性更好 - 执行后
vendor/下目录仍存在是正常行为，物理删除由后续composer install或composer update --with-dependencies触发
删完之后 vendor 还有残留？这是设计，不是 bug
composer remove 只改声明和锁文件，不主动清理磁盘——这是为了防止误删被其他流程（如 CI 构建、多环境部署）依赖的临时文件。残留本身不危险，但必须补同步步骤。
- 推荐补
composer install：按当前composer.lock重建vendor/，自动剔除未声明且无引用的包 - 若
composer.lock里还存着已删包的旧记录，可删掉整个composer.lock再跑composer install（仅限开发环境） - 切勿手动删
vendor/some-package：会导致composer dump-autoload失效、classmap缓存错乱、插件注册残留等问题 - 删完务必跑
composer dump-autoload -o，否则旧 autoload 映射可能让已删类继续“可用”，掩盖真实问题
想彻底清掉所有未声明依赖？别猜，重建
所谓“冗余包”，往往是历史遗留的间接依赖或曾被 require 后又被删掉但没同步 vendor 的孤儿。最干净的做法不是清理，而是重建可信清单。
- 备份（可选）：
mv vendor vendor.bak - 删掉
vendor/和composer.lock - 运行
composer install：只装composer.json中require和require-dev明确列出的包，及其必需子依赖 - 对比
vendor.bak和新vendor，消失的那些就是真正冗余的包 - 注意：
composer update不行——它保留composer.lock中的旧包，无法剔除孤儿
最易被忽略的点是：删包后代码里的 use、配置文件中的 ServiceProvider、测试里的 Facade 调用，composer remove 完全不管。这些才是运行时报错的主因，必须人工 grep + 清 cache + 重启服务验证。
