Composer删除不再需要的依赖：正确执行remove命令流程【心得】
remove 命令不删 vendor 目录里的包？先确认是否真卸载成功
执行完 composer remove vendor/package-name，回头一看，vendor/ 目录里对应的文件夹居然还在。别急着怀疑是 Bug，这其实是预期行为——当然，前提是这个命令真的成功执行了。很多时候，问题出在包名写错、大小写没对上，或者这个包被项目里其他已经安装的依赖间接引用了（也就是所谓的“被依赖”）。Composer 的设计很谨慎，默认不会强行移除那些还被别人需要的包，它会直接报错告诉你：Package vendor/package-name is not required in your composer.json and has not been removed。
遇到这种情况，可以按下面几步来排查：
- 先用
composer show确认一下，这个包到底有没有在当前项目里实际安装（重点看输出里的versions列）。 - 仔细核对
composer.json文件里的require或require-dev字段，确保你要移除的包名完全一致，包括命名空间和连字符这些细节。 - 如果 Composer 提示“not required”，那就说明这个包没有被直接声明，很可能是通过其他包带进来的。这时候光靠
remove命令是清不掉的，得去查依赖树。
依赖树里层层嵌套？用 show --tree 定位谁在引用它
很多依赖关系就像俄罗斯套娃。你想删的那个包，可能在 composer.json 里根本找不到直接声明，但它却被某个仅用于开发环境的工具或者测试框架拉了进来。举个例子，phpunit/phpunit 可能依赖 sebastian/exporter，而你只想移除后者——直接运行 remove 肯定会失败。
这时候，依赖树就是你的“地图”：
- 运行
composer show --tree vendor/package-name，这条命令能清晰地展示出是谁在依赖它。输出结果里，顶层是你的根项目，往下一层层的缩进就是完整的依赖链条。 - 如果发现是
require-dev里的某个开发包引入的，可以尝试先composer remove --dev that-dev-package移除那个开发包，然后再重试移除目标包。 - 要慎用
--ignore-platform-reqs这类参数，或者直接暴力删除锁文件，这些操作很容易导致后续执行install时出现兼容性问题。
删完之后 autoload 还报错？别忘了 dump-autoload
有时候，即便 remove 命令执行成功，vendor/ 目录也清理干净了，composer.json 也更新了，但 PHP 运行时依然会抛出 Class not found 的错误。这通常不是缓存问题，而是因为 Composer 的自动加载映射没有及时刷新——默认情况下，remove 命令并不会自动触发 dump-autoload 操作。
所以，记得手动补上这一步：
- 执行
composer dump-autoload（简写是composer du）。这对于那些采用了 PSR-4 自动加载标准，并且类文件路径与命名空间紧密关联的项目来说，尤其重要。 - 如果项目配置中启用了优化模式（即
"optimize-autoloader": true），那么在删除包之后，必须加上-o参数来执行：composer dump-autoload -o。 - 在持续集成（CI）环境中，建议将
dump-autoload明确写入部署脚本，避免出现本地开发一切正常，但线上环境却崩溃的情况。
lock 文件没更新？那是 remove 没真正落地
composer.lock 文件是项目依赖状态的权威记录。执行 remove 命令后，如果发现 lock 文件里还残留着那个包的条目，那基本可以断定操作没有真正完成。可能是命令执行中途被中断了，或者使用的 Composer 版本比较老旧。
可以这样处理：
- 检查
composer.lock文件中的packages和packages-dev数组，确认目标包已经消失。 - 如果 lock 文件纹丝未动，可以先通过
git checkout -- composer.lock回退文件，然后重试移除操作。另一个办法是升级 Composer 本身：composer self-update。 - 在团队协作中，这一点至关重要：务必同时提交更新后的
composer.json和composer.lock文件。否则，其他成员执行composer install时，又会把旧的依赖装回来。
最后，还有一个最容易被忽略的角落：Composer 的 remove 命令本质上是一个声明式操作。它只负责修改声明文件（json）和锁文件，并不会自动帮你清理那些历史残留的配置、服务提供者注册信息，或者自定义的自动加载脚本。这些“手工活”，需要你亲自去扫描一遍 config/ 目录、app/Providers/ 目录，或者检查 composer.json 里的 autoload 部分，确保没有遗漏。
