composer install 命令本身不支持 --exclude、--filter 或 --only 等包名过滤参数；真正有效的排除方式只有三种：依赖解析前用 conflict 硬拦截、用 replace 静默跳过、或通过 --no-dev 隔离开发依赖。
composer install 本身不支持 --exclude 或 --filter
直接说结论：composer install 命令根本没有 --exclude、--filter、--only 这类包名过滤参数。所有网上搜到的“加个 flag 就能跳过某包”的写法，要么是混淆了 composer update 的行为，要么是误传的非官方补丁。你运行 composer install --help 就能看到，它只接受 --no-dev、--dry-run、--ignore-platform-req 等有限选项。
想靠 install 阶段“动态过滤”，注定失败。真正起效的控制点在三个环节：依赖解析前（conflict）、安装后（post-install-cmd）、或分发包构建时（archive.exclude）。
-
conflict是最轻量、最确定的排除方式——它在依赖求解阶段就报错中断，根本不让目标包进入composer.lock - 手动删
vendor/xxx或用脚本清理，属于破坏性操作，下次composer update很可能恢复，不适合生产环境 -
archive.exclude只影响 dist 包（ZIP）的解压内容，对 source 安装无效，且需包作者或你主动配置并打新 tag 才生效
用 conflict 在解析阶段硬拦截特定包
conflict 不是“跳过”，而是“拒绝安装满足条件的版本”。它写在 composer.json 根级，作用于整个依赖图求解过程。
例如，已知 monolog/monolog >=2.8.0 与当前 PHP 扩展冲突，可这样写：
"conflict": {
"monolog/monolog": ">=2.8.0"
}
注意几个关键点：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 包名必须带斜杠，
"monolog"是错的，"monolog/monolog"才对 - 版本约束要精确：
"*"不生效，"!=2.8.1"或"^2.0.0"可以，但"~2.0"和"^2.0"行为不同，别靠猜 - 它只拦最终进入
composer.lock的包，不拦中间传递链里被其他约束放行的版本（比如 A → B → monolog/monolog:2.7.0，而你只conflict了 2.8.0+，那 2.7.0 仍会被装） - 副作用明显：如果另一个你
require的包（如symfony/console）硬依赖该包，整个composer update会失败，不是静默跳过
用 replace 静默跳过安装，但风险更高
当你确定某个包完全没被调用，又不想触发 conflict 的强中断，replace 是更柔和的选择。它告诉 Composer：“这个包我自有实现或根本不用”，于是 Composer 就不再尝试安装它。
写法示例：
"replace": {
"monolog/monolog": "*"
}
但它有几个隐蔽坑点：
- Composer 不校验真实性——哪怕
vendor/里真没这个包，它也照常通过；上线前务必跑composer show | grep monolog确认它确实没出现 - 如果多个依赖同时
require它，而你的replace版本号写得太死（如"1.2.0"），可能因版本不匹配引发conflict报错 - 它不影响 autoload —— 即使被
replace，只要autoload-dev里还声明了路径，vendor/autoload.php仍可能包含其映射，造成 class_exists() 返回 true 但实际类不存在的假阳性
复杂依赖链剪枝，优先从源头和平台层下手
面对深层嵌套依赖（比如 laravel/framework → illuminate/support → ramsey/uuid → symfony/polyfill-mbstring），单靠 conflict 或 replace 容易漏掉中间版本。这时候得结合平台模拟和源级控制：
- 用
config.platform模拟缺失扩展，间接跳过依赖链分支。例如设"ext-mbstring": "0.0.0"，会让需要它的包（如symfony/polyfill-mbstring）无法满足要求而被排除 - 私有仓库场景下，可用
repositories.exclude禁止从某源加载指定包，比如"exclude": ["acme/*"]，但它不影响 packagist.org 上同名包的安装 - 安全兜底方案：引入
roave/security-advisories（作为--dev依赖），它本质是靠依赖求解器自动拒绝 CVE 收录的不安全版本，错误信息明确，但只覆盖已公开漏洞
真正难处理的是那些既没被 conflict 拦住、又没被 platform 影响、还被多个上游包松散依赖的“幽灵包”——它们往往藏在 composer.lock 的 packages-dev 区块里，靠 --no-dev 也清不干净，只能靠人工核对 composer show --tree 输出，再针对性加 conflict 或换包。
