Composer install 时提示 Package xxx is abandoned 怎么办
这不代表安装失败，只是 Composer 在警告你：该包已不再维护，作者推荐迁移到另一个替代包。它不影响当前依赖解析和安装，但长期使用有风险——安全补丁停更、PHP 新版本兼容性断裂、甚至某天被彻底从 Packagist 下架。
关键动作不是立刻删掉，而是先确认三件事：
查 composer show xxx/xxx 看废弃声明原文，里面通常含推荐替换包名（如 Recommended replacement: monolog/monolog）运行 composer depends xxx/xxx 查谁在依赖它，是直接 require 还是间接依赖（比如通过某个 SDK 引入）检查项目中是否真有调用该包的代码（grep 或 IDE 全局搜索 use 或 new XxxClass）
直接 require 的废弃包怎么替换
如果 composer.json 的 require 区域里明写着它，迁移最干净：
执行 composer remove xxx/xxx（自动删 require 行并卸载）立即 composer require yyy/yyy:^3.0（注意版本约束，别盲目用 ^latest，尤其跨大版本时 API 可能不兼容）改代码：类名、命名空间、方法签名大概率变了，不能只换包名。例如从 guzzlehttp/ringphp 迁到 guzzlehttp/guzzle，Ring\Client 彻底消失，得重写 HTTP 调用逻辑
别跳过测试——哪怕只有几个单元测试，也比没强。废弃包往往在边界 case 上行为古怪，新包可能暴露旧逻辑漏洞。
间接依赖的废弃包为什么删不掉
常见现象：composer remove xxx/xxx 报错 “Package is not installed”，但 composer outdated 仍显示它，且 composer depends xxx/xxx 返回一堆包名。
这是因为它是被其他已安装包（比如 laravel/framework 或 symfony/console）硬依赖的。此时：
不要手动删 vendor/xxx/xxx —— 下次 composer install 会重新拉下来，还可能破坏 autoloader升级那个“上游包”：查它的 GitHub release notes，看是否已在新版中切换了依赖。例如 doctrine/orm v2.12+ 已弃用 doctrine/common，改用 doctrine/persistence若上游包迟迟不更新，可临时加 replace 到 composer.json（仅限紧急场景）："replace": { "xxx/xxx": "*"}但这只是告诉 Composer “假装它存在”，实际代码仍调用旧类——必须同步 patch 上游包或自己 fork 修复
废弃包还在用，但找不到官方推荐替代品
有些包废弃声明里只写 “No longer maintained”，没给替代方案（比如早期的 phpunit/php-token-stream）。这时得自己找路：
搜 Packagist 关键词 + “alternative”，看社区推荐；GitHub 上搜该包名 + “fork” 或 “replacement”看它的最后几个 commit 和 issue，常有人在问“接下来用啥”，答案可能藏在 closed issue 里评估能否用原生 PHP 替代：比如废弃的 ircmaxell/password-compat，PHP 5.5+ 直接用 password_hash() 和 password_verify()实在没选，就锁死版本（"xxx/xxx": "1.2.3"），加注释说明原因，并设个半年提醒复查
最麻烦的不是换包，是那些被废弃包深度封装过的业务逻辑——比如用 aws/aws-sdk-php-v2 写的 S3 上传类，迁到 v3 不只是改命名空间，连 promise、middleware、credential provider 都重构了。这种得单独抽离适配层，别指望一把梭。
评论(0)