不能直接删。composer remove 仅从 composer.json 的 require 或 require-dev 中移除包名并执行 composer install，不清理未声明的包或残留文件，需确认声明位置、使用对应参数，并配合 composer update --lock 或重装 vendor 才能彻底清除。
直接运行 composer remove 就能删掉依赖吗？
不能直接删。composer remove 是 Composer 2.2+ 引入的命令，但它只做两件事：从 composer.json 的 require（或 require-dev）里移除对应包名，并执行一次 composer install（即重装依赖）。它不会自动清理已安装但未声明的包，也不会处理手动修改过 composer.json 后残留的 vendor/ 文件。
常见错误现象：composer remove monolog/monolog 执行后，vendor/monolog/monolog 还在，或者 composer.json 里没删干净（比如删了 require 却漏了 require-dev 里的同名包）。
- 务必确认目标包当前是否真的在
composer.json中被声明 —— 用grep -n "monolog/monolog" composer.json检查两处："require"和"require-dev" - 如果该包是通过
composer require --dev安装的，就得用composer remove --dev monolog/monolog，否则会报错Package "monolog/monolog" is not required in your composer.json and has not been removed. - 执行前建议先
git add composer.json && git commit -m "backup before remove"，避免误删后难以回溯
composer remove 和手动编辑 composer.json + composer install 有啥区别？
本质区别在于「是否触发自动依赖收敛」。前者会调用 Composer 的完整解析器，检查移除后是否导致其他包的约束冲突；后者只是机械重装，可能留下不兼容的旧版本或冗余包。
例如：A 包依赖 "psr/log": "^1.0"，B 包依赖 "psr/log": "^2.0"，你删掉 B 后，composer remove 会识别出 A 仍需要 psr/log，并保留兼容版本；而手动删 composer.json 后直接 composer install，可能因为锁文件残留，继续装 psr/log 2.0.0，虽然能跑但违反 A 的约束。
-
composer remove会自动更新composer.lock，且确保所有依赖满足剩余声明的版本约束 - 手动删
composer.json后只运行composer install，不会重新解析依赖图，composer.lock里未被引用的包可能仍保留在vendor/中（Composer 不会主动删除） - 若想彻底清理残留，必须跟一个
composer update --lock或删掉composer.lock再composer install
删完发现 vendor/ 里还有旧包，怎么彻底清干净？
Composer 不会在 remove 后主动删除 vendor/ 下未被任何 require 声明的包，尤其当这些包是其他包的子依赖（transitive dependency）时，它们可能被锁在 composer.lock 里，但已无直接声明。
典型场景：你删了 guzzlehttp/guzzle，但 vendor/guzzlehttp/promises 还在 —— 因为它曾被其他包间接依赖，现在没人要了，但 Composer 默认不清理。
- 最稳妥方式：
rm -rf vendor/ composer.lock composer install
，强制从头构建依赖树（适合 CI 或确认环境干净时） - 轻量方式：
composer update --lock
，它会按当前composer.json重新生成composer.lock，再删掉vendor/中未被新锁文件引用的目录（Composer 2.2+ 默认启用此行为） - 验证是否清干净：
composer show --installed | grep "guzzlehttp"，应返回空；再ls vendor/ | grep guzzlehttp确认物理目录也消失
为什么有时 composer remove 报错说包“not found”，但 composer show 能看到它？
因为 composer show 显示的是 vendor/ 中已安装的包，而 composer remove 只检查 composer.json 的声明。也就是说：这个包很可能是被其他包带进来的（子依赖），或者你曾经手动改过 composer.json 但没同步锁文件，又或者它在 require-dev 里但你没加 --dev 参数。
- 先运行
composer show --tree | grep -A5 -B5 "your-package-name"，看它是谁的子依赖 - 再检查
composer.json全文：jq '.require, .require-dev' composer.json | grep "your-package-name" - 如果它确实没被直接 require，就不能用
remove—— 此时它属于「幽灵依赖」，应通过composer update让 Composer 自动剔除，或手动删vendor/对应目录（风险较高，仅限调试）
真正要删的，永远是 composer.json 里写的那一行；其余都是副产品。别被 vendor/ 里的存在感迷惑。
