Composer使用--dry-run参数进行模拟安装并查看潜在冲突（安全测试）-composer-PHP中文网

composer install --dry-run根本不存在，官方从未实现，运行必报“unrecognized option: --dry-run”错误；真正支持该参数的是composer update和composer require（2.2+稳定支持），因install行为由composer.lock严格决定，无需预演。

composer使用--dry-run参数进行模拟安装并查看潜在冲突（安全测试）

composer install --dry-run 根本不存在

直接运行 composer install --dry-run 必然报错：Unrecognized option: --dry-run。这不是版本问题，也不是配置错误——Composer 官方**从未实现**该参数。所有文档或博客中出现的“composer install --dry-run”，基本都混淆了 composer update 或 composer require 的行为。

install 命令的设计目标是“按 composer.lock 精确还原”，它不重算依赖、不响应 composer.json 变更，也无需预演。官方认为它是确定性操作，加 --dry-run 没有意义。

别再试 composer install --dry-run，它不会工作，也不该工作
Stack Overflow 或旧教程里贴的示例，大概率是把 npm/yarn 习惯错误迁移到 Composer
如果你看到某文档说“支持”，请检查它实际执行的是 update 或 require 却写错了命令名

真正可用的 --dry-run 场景只有 update 和 require

composer update --dry-run 和 composer require xxx --dry-run（Composer ≥2.2）才是官方稳定支持的干运行方式。它们会完整走依赖求解器（SAT solver），输出将要安装、更新、降级或移除的包，但跳过所有文件写入和脚本执行。

composer update --dry-run：适合验证 composer.json 修改后整个依赖图的变化，比如 PHP 版本上调、新增包、放宽约束等
composer require foo/bar --dry-run：用于精准测试单个包引入是否触发冲突或意外升级，尤其适合 PR 前快速验证
composer update --dry-run --with-all-dependencies：显式递归模拟全部依赖变更，避免 require-dev 被忽略
注意：composer remove 和 composer require（无 --dry-run）不支持该参数，会静默忽略 —— 必须改用 composer update --dry-run vendor/package 模拟

怎么看出潜在冲突？盯住三类关键输出行

--dry-run 不只是列清单，它能暴露真实求解过程中的冲突点。重点观察终端输出中以特定前缀开头的行：

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

以 Updating 开头：如 Updating monolog/monolog (2.9.1 => 3.0.0) —— 重大版本升级需查其 UPGRADE.md
以 Downgrading 开头：说明约束冲突导致回退版本，往往意味着功能丢失或行为回退
以 Installing 或 Removing 开头：依赖图结构发生变动，比如某个包删掉了对 symfony/console 的依赖，或新增了 ext-redis 要求
若出现 Your requirements could not be resolved 或 Package foo conflicts with bar >=2.0，这就是真实冲突，不是假阳性

注意：--dry-run 不校验 ext-gd、mbstring 等扩展是否已启用，这类问题得靠 composer check-platform-reqs 单独验证。

CI/CD 中用 --dry-run 容易踩的坑

--dry-run 在 CI 中常因环境差异失效，结果不可直接套用到生产环境：

CI 使用的 PHP 版本、已启用扩展必须与目标环境严格一致，否则依赖解析路径不同
如果项目用了 config.platform（如 "php": "8.2"），CI 必须显式设置相同值，否则平台检测失效
--dry-run 成功时退出码为 0，但“无任何操作”也返回 0 —— 不能靠退出码判断是否有变更，得解析 stdout 或对比 composer.lock diff
某些插件（如 hirak/prestissimo）可能绕过 --dry-run 机制，建议 CI 中临时禁用再测试

真正安全的部署前检查，不是只跑一次 --dry-run，而是组合使用：composer install --dry-run --no-dev（虽不存在，但应理解为删掉 vendor/ 后跑真实 install 观察输出） + composer update --dry-run -v + composer check-platform-reqs。复杂项目里，锁文件是否过期、平台要求是否隐含断层，这些细节比“有没有输出”更关键。