composer无“一键卸载所有未引用包”的安全命令，因其不自动识别代码或依赖树中未使用的包；判断是否可删需三步交叉验证：composer depends查上游依赖、composer-unused扫描代码引用、grep检查配置与动态加载。
没有“一键卸载所有不再被引用的建议包”的安全命令。 Composer 本身不提供自动识别并批量移除“未被代码或依赖树引用”的包的功能，所谓“建议包”（abandoned）只是元数据提示，和是否可删无关；真正决定能否删的，是它是否被 composer.json 显式声明、是否被其他已安装包 require、以及是否在项目代码中被实际使用。
为什么 composer remove --with-dependencies 不行
这个参数只影响你 composer.json 中手动写死的直接依赖及其子依赖（且仅限于你显式 require 过的），它不会扫描整个 vendor/ 目录去找“没人要的包”。比如：psr/log 被 symfony/console require，哪怕你没在 composer.json 里写它，composer remove --with-dependencies 也不会动它——这是保护机制，不是缺陷。误用反而可能破坏上游包功能。
怎么判断一个包“真的没被引用”
必须分三步交叉验证，缺一不可：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 查是否被其他包依赖：
composer depends vendor/package-name—— 输出为空才表示无上游 require - 查是否被项目代码调用：
composer-unused --scan-path=src --scan-path=app --scan-tests（需先composer require --dev composer-unused/composer-unused） - 人工 grep 配置和动态加载：
grep -r "vendor/package-name\|PackageClassName" . --include="*.php" --include="*.yaml" --include="*.yml"，特别注意config/、app/Providers/、database/migrations/和字符串反射（如'driver' => 'xxx'）
真正能“清掉所有孤儿包”的操作是重建 vendor
这不是“卸载”，而是“重装可信清单”：
- 先备份（可选）：
mv vendor vendor.bak - 删掉锁文件和整个 vendor：
rm -rf vendor composer.lock - 重新安装：
composer install（不是update！update会保留旧 lock 中的历史包） - 对比
vendor.bak和新vendor，消失的那些就是未被任何声明或间接依赖引用的“孤儿”
注意：这个操作会重置所有依赖版本到 composer.json 允许范围内最新兼容版，若需锁定原版本，请先用 composer show --tree 记录当前结构，或改用 composer install --no-dev --no-cache 减少干扰。
最常被忽略的是 autoload 缓存和框架配置残留——composer remove 成功后，config/app.php 里的 service provider、app/Providers/ 中的注册类、甚至 .env 里的驱动名，都得手动清理；否则运行时仍会报错，而错误信息根本不会指向这些地方。
