Composer.lock中同一包多版本是合法软依赖表达，非bug；真冗余指已从composer.json移除却仍滞留lock和vendor中的“幽灵包”，需先确认删除声明，再运行composer update --lock清理lock，最后composer install同步vendor。
composer.lock 里出现重复依赖，不是文件损坏，而是依赖图解析时的正常冗余记录；真正要清理的是已声明移除、却仍滞留在 lock 文件和 vendor 中的“幽灵包”。
为什么 composer.lock 会显示同一包多个版本？
这不是 bug，是 Composer 对“软依赖”的合法表达：比如 monolog/monolog 被 symfony/error-handler 和 laravel/framework 分别以 ^2.0 和 ^3.0 引入，lock 文件会保留两个满足条件的解析结果（如 2.10.0 和 3.5.0），只要它们没被实际安装进 vendor，就不影响运行。
但如果你已从 composer.json 中删掉 monolog/monolog，它却还出现在 composer.lock 的 packages 或 packages-dev 列表里——这才是真冗余，必须清理。
- 重复条目 ≠ 冗余：lock 文件允许同一包多版本共存，只要未被 require 或 require-dev 显式声明，且未被任何已装包硬依赖，就只是“未激活的候选”
- 冗余条目 = 已删除声明 + 仍在 lock 中 + vendor 里无对应目录 → 这种才需要人工干预
- 检查方法：
composer show monolog/monolog返回 “Package not found”，但grep -A 2 '"monolog/monolog"' composer.lock仍有输出 → 锁文件残留
执行 composer remove 后 lock 文件还有残留？
Composer 2.2+ 的 composer remove 默认会更新 composer.lock，但若你加了 --no-update 参数，或命令中途失败（如网络中断、权限不足），lock 文件就不会同步刷新。
- 先确认包是否真的从
composer.json的require或require-dev中彻底删除（注意拼写、大小写、vendor 名） - 运行
composer update --lock：它不碰 vendor，只重写 lock 文件，强制丢弃所有未被当前composer.json声明的包条目 - 如果想连带清理 vendor 中可能残留的目录，再补一句
composer install（非update，避免意外升级） - 验证：用
composer show monolog/monolog应报错；ls vendor/monolog应提示 “No such file or directory”
怎么安全批量清掉所有冗余包？
别手写循环删 composer.json，也别直接改 composer.lock。Composer 没提供 “clean unused” 命令，但有更稳的组合操作：
- 先跑
composer depends --tree vendor/package-name确认该包没被任何已装包依赖（返回空才安全） - 批量删多个包：用
composer remove a/b c/d e/f（Composer 2.2+ 支持空格分隔，一次全清） - 想清空整个
require-dev？手动删掉composer.json里的"require-dev": { ... }块，再执行composer update --no-dev（不是install，否则会重装全部 dev 包） - CI 环境慎用
composer install --no-scripts：某些包（如laravel/framework）的 autoload 生成逻辑藏在 post-install 脚本里，跳过会导致类加载失败
删完还报 Class not found？autoload 是最大盲区
composer remove 不动你的 PHP 代码，但它依赖的 autoload 映射必须实时更新。Laravel 9+、Symfony 6+ 默认启用 --classmap-authoritative，旧映射不刷新就永远找不到类。
- 必须立刻执行
composer dump-autoload -o（-o强制优化模式，重建 classmap） - 检查
vendor/composer/autoload_psr4.php和autoload_classmap.php，搜索包名，确认相关路径已消失 - OPcache 或 APCu 缓存了旧 autoload？调用
opcache_reset()或apcu_clear_cache()清理 - 全局搜代码残留：
grep -r "use Monolog\" app/ src/ config/ --include="*.php"（注意反斜杠转义） - 特别注意配置文件：Laravel 的
config/app.php中的providers、aliases，Doctrine 的类型注册，甚至数据库迁移里的字符串类名
最常被忽略的一点：Composer 不管你代码里写了多少 new、class_exists 或服务容器绑定，它只管声明和自动加载。删包后上线报错，90% 都是这些地方没扫干净。
