composer install 补不全深层隐式依赖，是因为它仅按composer.lock中已锁定的包还原，不会解析未显式锁定的间接依赖；若该依赖被provide/replace覆盖、平台约束排除或未进入lock文件，则install无法补全。
composer install 为什么补不全深层隐式依赖？
因为 composer install 只按 composer.lock 中已记录的包列表还原，不会主动解析或安装“未被显式锁定但被某子依赖间接 require 的包”——尤其当该子依赖本身被 replace、provide 或自动丢弃时，它根本不会出现在 vendor/ 里，install 就无从补起。
常见错误现象：
- 执行
composer show --tree guzzlehttp/guzzle显示它依赖psr/http-message，但vendor/psr/http-message目录不存在 -
composer audit报 “No vulnerabilities found”，可composer.lock里明明写了有 CVE 的psr/http-message:1.0.1 -
php -r "require 'vendor/autoload.php';"报Class not found，而类文件物理存在、命名空间也正确
根本原因不是 Composer 漏装，而是这个包压根没被 Composer 认为“需要安装”：它可能被 "psr/http-message": "*" 的 provide 声明覆盖，或被 replace 规则剔除，或因平台约束（如 PHP 版本）被求解器主动跳过。
如何确认某个深层包是否真被丢弃？
别猜，直接查 composer.lock 的 packages 和 packages-dev 区域：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 用
jq '.packages[] | select(.name == "psr/http-message")' composer.lock（需装jq）或文本搜索"name": "psr/http-message" - 如果搜不到，说明它没被锁入 —— 即使
composer show --tree显示路径，也只是“理论依赖”，非“已决议依赖” - 如果搜到但字段含
"replaced": true或"provided": true，得立刻翻对应包（比如guzzlehttp/psr7）的composer.json，看它是否真声明了"provide": {"psr/http-message": "*"} - 检查
platform字段：若composer.json里写了"config": {"platform": {"php": "8.1"}}，但当前 CLI 是 PHP 8.2，某些包可能因版本策略变更被静默排除
补全动作必须分两步走：先强制拉取，再重建 autoload
仅靠 composer install 不足以唤醒被丢弃的隐式依赖。你得让 Composer 重新“看见”它：
- 运行
composer update --dry-run -v，盯住输出里类似Resolving dependencies through SAT后的推演过程 —— 这里会暴露哪些包被跳过、为什么被跳过 - 若确认是
provide导致缺失，且你确实需要原生psr/http-message（比如某工具链硬依赖其接口），在composer.json的require里显式加一行："psr/http-message": "^1.0"，再跑composer update psr/http-message - 补完后必须重生成 autoload：
composer dump-autoload -v，否则即使文件存在，vendor/autoload.php里也不会有映射项 - 验证 autoload 是否生效：
php -r "var_dump(class_exists('Psr\Http\Message\RequestInterface'));"，返回bool(true)才算真正落地
最容易被忽略的点：dev-only 依赖也能拖垮 runtime
很多深层缺失其实来自 require-dev —— 比如 phpunit/phpunit 拉了旧版 symfony/yaml，而它又 provide 了某个 psr/* 接口，导致主流程里同名接口被覆盖。这类问题在 composer install --no-dev 后才爆发，但审计时却查不到。
解决办法只有一条：补全前先跑 composer check-platform-reqs --no-dev 确认运行时环境干净，再用 composer show --tree --all（注意加 --all）把 dev 分支的依赖树也摊开看一遍。别假设 “--no-dev 就等于没影响”。
