composer why 查不到阻塞源，因为它只显示“谁依赖了已安装的包”，不感知冲突、conflict 字段或未满足约束；真正定位阻塞应使用 composer why-not（需精确版本号）或 composer prohibits。
composer why 为什么查不到阻塞源
composer why 查的是“谁在用这个包”，不是“谁在拦这个包”。它只展示依赖树中已安装的路径，对冲突、conflict、平台限制或未满足的 require 完全不感知。当你遇到 root requirements could not be resolved 却跑 composer why monolog/monolog 得到空结果，说明问题根本不在“谁用了它”，而在于“谁不让它升级”。
常见误用场景：
- 想诊断
laravel/framework:11.0.0装不上，却运行composer why laravel/framework—— 这只会显示 Laravel 被谁 require，和死锁无关 - 目标包尚未安装（比如你还没
require它），why必然返回空，但它可能已被require-dev中某个包间接拉入解析范围 - 输出里出现
(replaced)或(provided)标记，说明实际加载的是替代包，why显示的路径不可信
真正该用 composer why-not 的三个前提
composer why-not 才是定位死锁的正确入口，但它对输入和环境极其敏感：
- 必须用**精确版本号**：
composer why-not laravel/framework:11.0.0✅，composer why-not laravel/framework:^11❌（报[InvalidArgumentException] Package not found） - Composer 版本需 ≥ 2.2；低于该版本会提示
Command "why-not" is not defined，先执行composer self-update --2 - 若目标包被
require-dev中的包间接依赖（如orchestra/testbench拉入illuminate/support），需加--with-all-dependencies，否则漏掉关键链路
why-not 输出里哪一行才是真卡点
输出是一条反向路径，从目标包往回推，但**最后一行不是你要改的，第一行才是**：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
spatie/laravel-backup v7.2.0 requires symfony/console (^5.4) laravel/framework 11.0.0 requires symfony/console (^6.4)
上面这段输出中，laravel/framework 11.0.0 requires symfony/console (^6.4) 是你想装的目标约束，而 spatie/laravel-backup v7.2.0 requires symfony/console (^5.4) 才是那个无法松动的硬性源头——它大概率在 require-dev 里，且没写 conflict，只是通过 require 锁死了旧版。
注意识别以下信号：
- 以
conflicts开头的行：这是硬拦截，比如某包声明"conflict": {"laravel/framework": ">=11"}，Composer 直接放弃求解 - 末尾出现
platform requirements不匹配：如php: ^8.1但你运行的是 PHP 7.4 —— 这类问题 Composer 2 会前置报错，根本不会走到why-not阶段 - 输出为空：不是没冲突，而是目标包未被任何现有依赖引用，要检查拼写、PHP 版本、
minimum-stability或私有仓库配置
why-not 查不到时，prohibits 是更早的探雷器
composer prohibits 不等你“想装什么”，而是主动扫描整个依赖图，列出所有明确排斥目标版本的包。它比 why-not 更适合预防性检查：
- 准备升
laravel/framework到 v11，先跑composer prohibits "laravel/framework:11.0.0"，提前看到spatie/laravel-backup或orchestra/testbench是否还在锁死旧版 - 输出中带
(by your requirements)的行，是你自己的composer.json在作祟，不是第三方问题 - 多个包都禁止同一版本时，优先处理
require-dev里的工具链包——它们常因测试兼容性滞后于主框架，删掉或换版本成本最低
真正难处理的，是那些没写 conflict 却靠 require 形成隐式锁死的包。它们不会出现在 prohibits 里，只能靠 why-not + depends --tree 逐层翻找。这种隐性约束，才是死锁最常藏身的地方。
