中文镜像源不参与依赖解析逻辑，仅提供packages.json元数据下载；软依赖（如suggests字段）被composer完全忽略，所谓“镜像导致软依赖变硬”实为元数据同步延迟所致，需通过composer install -vvv观察卡点位置及比对官方源与镜像源p2文件内容验证。
中文镜像源不参与依赖解析逻辑
镜像源只提供 packages.json 元数据下载，不改变 Composer 的 SAT 求解行为。所谓“软依赖”（比如 symfony/console 声明 "suggests": {"monolog/monolog": "..."}）根本不会进入依赖图计算——suggests 字段纯属提示，Composer 解析器完全忽略它。
用户误以为“换镜像后软依赖变硬了”，实际是镜像元数据同步延迟导致：阿里云、腾讯云等镜像的 packages.json 更新有数小时 lag，旧版文件里可能缺失某些包的 conflict 或 replace 声明，让 Resolver 错误地认为某版本可选，结果在下载阶段才报 404 或校验失败。
- 运行
composer install -vvv，如果卡在Downloading阶段而非Resolving dependencies，说明问题出在镜像内容不全，不是解析逻辑 - 对比官方源与镜像源的
https://packagist.org/p2/vendor/package.json和https://mirrors.aliyun.com/composer/p2/vendor/package.json，看conflict字段是否一致 - 临时切回官方源：
composer config --unset repos.packagist && composer config repo.packagist composer https://packagist.org/，再试一次，能快速验证是否镜像数据问题
“软依赖”被误当硬依赖的常见场景
真正让 Resolver 把“建议包”当成必须项的，从来不是镜像，而是项目配置或间接约束：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
require-dev里写了"phpunit/phpunit": "^10.0"，而它的composer.json中require了"sebastian/environment": "^6.0"，后者又require了"ext-dom"—— 这时ext-dom就从“建议”变成硬性平台要求 - 项目
composer.json中"platform": {"php": "8.2"}，但本地 PHP 是 8.1，Resolver 会假装用 8.2 求解，选一堆只声明支持 8.2+ 的包，再因扩展缺失失败，看起来像“软依赖冲突” -
autoload-dev错误包含 vendor 路径，例如"psr-4": {"Tests\": "tests/", "Vendor\Package\": "vendor/vendor/package/src/"}，Composer 会把该包当作项目直接依赖加载，触发其全部require
如何确认某个包真是“软依赖”还是被悄悄拉进来了
别靠猜，用 Composer 自带命令看真实依赖路径：
-
composer depends --tree vendor/package-name：输出里没出现你的根项目名，说明它只是被suggests或autoload-dev引入，未进入主依赖树 -
composer prohibits --tree vendor/package-name：如果返回空，证明当前锁文件里没有任何包强制排除它；如果有输出，说明某个已装包通过conflict或replace把它挡在外面 -
composer show -t：查看完整依赖树，注意箭头方向 ——your-project → a/b → c/d是硬依赖链；a/b ← your-project表示它是被你项目反向 require 的，通常来自require-dev或错误 autoload
镜像 + 软依赖组合下的典型陷阱
最隐蔽的问题不是镜像坏了，而是镜像让某些本该报错的情况“侥幸通过”：
- 私有包
myorg/core在官方源不存在，但你在repositories里配了 type=package 条目，里面require了"myorg/utils": "dev-main"；镜像源没托管dev-main，但官方源有同名公开包，Resolver 误取后者，导致运行时报 ClassNotFound - 镜像源返回的
packages.json缺少type字段（如漏写"type": "library"），某些插件（如composer-unused）会跳过扫描，让你误以为“没被用到”，实际它已被require-dev拉入 - CI 环境用
--ignore-platform-reqs装包成功，但镜像源的元数据里php版本范围写得宽泛（如">=7.4"），导致 Resolver 选了不兼容你生产环境 PHP 版本的包
软依赖是否生效，取决于它是否出现在最终的 composer.lock 文件里 —— 镜像只影响“能不能下载到”，不影响“该不该装”。真正决定权永远在 composer.json 结构、repositories 顺序和平台配置上。
