composer why-not 是定位依赖冲突的正确命令，用于逆向分析谁阻止了指定包版本的安装，而 composer prohibits 命令根本不存在；composer why 仅正向追溯依赖关系，无法解决安装冲突问题。
Composer 没有 composer prohibits 这个命令，它根本不存在 —— 你运行会直接报错 Command "prohibits" is not defined。这是个常见误解，可能源于把 composer why 或 composer why-not 记混了，或者被某些过时文档误导。
composer why-not 是查冲突来源的正解
当你执行 composer require some/package 失败，提示版本冲突（比如 Conclusion: don't install some/package v2.0.0），真正能帮你定位“谁在阻止安装”的命令是：
composer why-not some/package:v2.0.0
它会逆向分析依赖图，列出所有已安装或已声明的包中，哪些约束（如 "monolog/monolog": "^1.0"）与目标包的依赖要求发生矛盾。
- 只接受
vendor/name:version格式，不支持通配符（如some/package:*无效） - 如果没指定版本，会默认用 latest-stable，但容易误判；建议显式写上你想装的具体版本
- 输出里出现
root requires表示你的composer.json直接写了冲突约束；出现其他包名则说明是间接依赖链卡住的
为什么 composer why 不够用
composer why some/package 只回答“谁依赖了这个包”，属于正向追溯，适合清理冗余依赖。但它对解决冲突几乎无帮助 —— 你已经知道要装它，问题是“为什么装不上”。比如：
composer why monolog/monolog
输出可能是 my/project requires monolog/monolog (^1.25)，这不能解释为何 some/package 要求 monolog:^2.0 就失败。冲突根源不在“谁用了 monolog”，而在“谁锁死了 monolog 的版本上限”。
实战中更有效的组合排查步骤
单靠一个命令很难一眼看穿嵌套冲突，推荐按顺序执行：
- 先运行
composer update --dry-run -v，加-v看详细决策日志，注意最后一段 “Resolving dependencies through SAT” 后的报错行 - 从错误信息里提取关键冲突包和版本，例如
Package foo/bar requires php >=8.1, but your PHP version (7.4.33) does not satisfy that requirement→ 此时该查 PHP 版本约束来源，而非用why-not - 对纯包版本冲突，用
composer why-not vendor/package:conflict-version，多次尝试不同版本（如:1.9.0、:2.0.0）对比输出差异 - 临时删掉
composer.lock再试why-not，可排除 lock 文件固化旧约束的干扰（但别忘了还原）
真正难的不是命令记不住，而是 Composer 的 SAT 解析器报错信息藏得太深——它往往只告诉你“结论”，不告诉你哪条 require 或 conflict 规则触发了这条结论。多练几次 why-not 加 --dry-run -v 的组合，才能快速盯住那行决定性的约束条件。
