默认情况下，composer install 仅在首次安装或 lock 文件变更时检查废弃包并输出黄色警告，该警告依赖 composer.lock 中的 "abandoned" 字段而非实时查询，因此需运行 composer update --lock 才能刷新废弃状态。
composer install 时怎么看到废弃包警告
默认情况下，composer install 只在首次安装或 lock 文件变更时拉取元数据，如果依赖树里有已标记 abandoned 的包，它会在输出末尾打印黄色警告，例如：Package monolog/monolog is abandoned, you should avoid using it. Use php-monolog/monolog instead.。但这个提示容易被滚动日志淹没，尤其在 CI 中常被忽略。
关键点：警告只在元数据解析阶段触发，不是每次 install 都重查——它依赖 composer.lock 里已存的 "abandoned" 字段，而非实时请求 Packagist。
- 若你刚切了镜像源（如阿里云），可能看不到警告：镜像缓存旧元数据，
abandoned字段还没同步 - 若
composer.lock是几个月前生成的，即使包已在 Packagist 上被标记废弃，install也不会报——除非你先composer update --lock - 想强制刷新所有包的废弃状态，必须运行
composer update --lock，它会重新请求 Packagist API 并重写 lock 文件中的"abandoned"字段
怎么确认 warning 是真废弃，不是误报
别信终端那行 warning 的文字描述，Packagist 页面右上角的「Replaced by」横幅才是唯一权威来源。warning 里的 Use xxx instead 可能过时、模糊，甚至为空。
最稳的验证方式是直接查 composer.lock：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 运行
grep -A1 -B1 '"abandoned"' composer.lock—— 输出非空就说明该包在解析那一刻已被标记 - 再用
composer show vendor/package看输出里是否有replaced by:行；有则优先按它迁移到新包 - 怀疑镜像问题？临时切官方源验证：
composer config -g repo.packagist composer https://packagist.org，然后重跑composer update --lock
为什么 composer install 不报错，但你要立刻响应
废弃包不中断安装，是因为 Composer 把它当 notice 级别提示，exit code 仍是 0。但这不等于安全——monolog/monolog 被废弃后，PHP 8.4 的类型系统升级可能让 Monolog\Logger::addRecord() 签名直接崩掉，而你直到上线才看到 Fatal error: Declaration must be compatible with。
- CI 里尤其危险：
composer install && phpunit这种链式命令不会因 warning 断开，错误日志可能被折叠或重定向吞掉 - 推荐在 CI 中加阻断：Composer 2.5+ 支持
composer install --fail-on-warning；老版本可用grep -q "is abandoned" composer.log做后置校验 -
composer require默认不触发废弃检查——你加个新包，可能悄悄带进一个废弃的传递依赖，完全没 warning
删废弃包前必须做的三件事
别急着 composer remove，先搞清它怎么进来的、能不能删、删了会不会炸。
- 查依赖路径：
composer depends vendor/abandoned-package—— 如果是laravel/framework拉进来的，你不能直接删，得等上游升级或 fork patch - 确认是否真被代码调用：运行
grep -r "use.*AbandonedClass\|new AbandonedClass" src/ app/ --include="*.php"，再搜配置文件（config/*.php、services.yaml）和composer.json的replace或provide字段 - 替换时别只改包名：比如从
guzzlehttp/guzzle:^6换到^7，GuzzleHttp\Client构造函数参数全变了，必须同步改代码；先看新包的autoload是否覆盖原命名空间，再跑全量测试
真正麻烦的不是 warning 本身，而是废弃包常和 polyfill、autoload 副作用、动态类加载耦合在一起——删完发现 mb_strlen 找不到了，大概率是 symfony/polyfill 被连带干掉了。
