Composer 2.5+ 支持原生命令 composer remove 安全卸载依赖，自动删除声明、vendor 文件及更新 autoload；2.2–2.4 需启用插件，≤2.1 或不升级则用 composer require vendor/package:（冒号结尾）替代，全版本兼容。
composer require 没有“撤回”机制，它只负责添加或更新依赖；要真正撤销一次 composer require 的操作，必须用 composer remove（Composer 2.5+）或等效替代方案（如 composer require vendor/package:），否则会残留声明、文件和 autoload 映射。
确认你用的是哪个 Composer 版本
执行 composer --version 查看输出。Composer 2.5+ 才默认支持 composer remove；2.2–2.4 需手动启用插件，而 2.1 及更早版本压根没有该命令。如果你看到 Command "remove" is not defined，说明当前环境不支持原生命令，得换方法。
- 2.5+：直接用
composer remove vendor/package-name - 2.2–2.4：先运行
composer global require composer/composer-remove-plugin（不推荐，插件维护已停滞） - ≤2.1 或不想升级：用
composer require vendor/package:（末尾冒号是关键）
用 composer remove 安全卸载（2.5+ 推荐）
它不是简单删文件，而是原子化反向安装：自动识别包在 require 还是 require-dev 中，删条目、删 vendor/ 下对应目录、更新 composer.lock、重建 autoload 映射。
- 基本用法：
composer remove monolog/monolog - 只删开发依赖：
composer remove phpunit/phpunit（remove自动识别位置，无需加--dev） - 想跳过实时重装（比如批量删多个包）：
composer remove guzzlehttp/guzzle --no-update，之后统一composer install - 如果报错
Package is required by another package，说明有上游依赖，别硬删——先composer why guzzlehttp/guzzle看谁在用，再决定是否连带移除上游
用 composer require vendor/package: 替代 remove（全版本兼容）
这是 Composer 官方隐式支持的“卸载语法”，适用于所有版本，原理是把版本约束设为空，触发 Composer 自动移除该包声明并清理 vendor 目录。
- 执行：
composer require monolog/monolog:（注意末尾冒号，不能漏） - 它会从
composer.json删除该行，并删掉vendor/monolog/monolog - 不加
--no-update时，默认同步更新 lock 和 autoload；加了则只改composer.json - 对
require-dev包也有效，但需确保没被其他require包间接依赖，否则会失败
删完还要人工扫三处残留
composer remove 或 require: 只管依赖声明和 vendor 文件，代码里那些硬编码引用它完全不管——这才是上线后 Class not found 的主因。
- 全局搜
use语句：grep -r "use Monolog\" . --include="*.php" - 检查配置文件（如 Laravel 的
config/logging.php）、服务提供者注册、Artisan 命令类里的new或app()调用 - 验证是否真删干净：
composer show monolog/monolog应报Package not found，ls vendor/monolog应提示No such file or directory；若还能 new 出类，大概率是composer dump-autoload没跑，或autoload.files里还留着旧路径
最易被忽略的点：Composer 不会帮你清理数据库迁移、缓存键名、环境变量或前端资源中对 PHP 包的引用。这些都得靠人肉 grep 和业务逻辑判断，自动化工具覆盖不了。
