Composer install 卡在“Resolving dependencies”是因依赖递归爆炸，即穷举版本组合求解约束，导致CPU/内存飙升、长时间无响应；应通过--no-plugins --no-scripts -v、why-not、depends --tree、replace/provide及校准platform-config定位并收敛求解空间。
composer install 时卡在 “Resolving dependencies” 是依赖递归爆炸了
不是网络慢，也不是源没换对，是 composer 在尝试穷举所有包版本组合来满足全部 require 约束——尤其当多个包互相约束对方的旧版本、或存在大量 conflict 规则时，求解空间会指数级膨胀。
典型现象：CPU 占用拉满、内存飙升、10 分钟没反应、日志里反复出现 Trying: vendor/package:v1.2.3 这类回溯尝试。
- 先试
composer install --no-plugins --no-scripts：排除插件/脚本干扰，确认是否纯解析问题 - 加
-v（verbose）看最后卡在哪条依赖路径上，重点关注输出里反复出现的requires和conflicts行 - 临时删掉
composer.lock再跑composer update --dry-run，观察它是否陷入无限回溯；如果是，说明锁文件本身已固化了一个脆弱解
用 composer why-not 定位具体冲突点
composer why-not 不是“为什么不能装”，而是“为什么当前项目状态不允许某版本共存”——它是解递归依赖链最直接的切口。
比如你发现 monolog/monolog 装不上 v3，就运行：
composer why-not monolog/monolog:3.0.0
输出会列出所有阻止该版本安装的上游约束，包括间接依赖（比如 laravel/framework 的 require 里写了 "monolog/monolog": "^2.0"）。
- 别只看第一层报错，
why-not输出里的每一行都可能是递归链上的一个死结 - 如果输出里出现
your-project，说明你根composer.json里写了冲突规则（比如conflict或过于严格的require） - 对多层嵌套依赖，可配合
composer depends --tree查某个包被谁层层引用
强制收敛：用 replace + provide 控制解析方向
当真实业务无法升级某个底层包（比如必须用 PHP 7.4，但新版本 guzzlehttp/guzzle 要求 8.0+），又不想整个项目降级时，replace 和 provide 是绕过递归求解的务实手段。
它们不解决“能不能装”，而是告诉 composer：“这个包我已有替代实现，别再费劲找兼容版本了”。
-
replace用于声明“我彻底替换了某包”，例如："replace": {"symfony/console": "5.4.*"}—— 表示你用自己的控制台实现覆盖了 Symfony 的 -
provide更轻量，只声明“我提供了某接口能力”，例如："provide": {"psr/log-implementation": "1.0"}—— 告诉其他包“日志接口我有了，别再拉monolog或slf4php” - 二者都需谨慎：
replace后若实际没实现对应功能，运行时直接报错；provide若声明了但没装对应实现，也会在运行时报Class not found
锁文件不是黑盒：手动编辑 composer.lock 要盯住 platform-config
composer.lock 里 platform 字段决定了解析时的“环境假设”。很多人改了 PHP 版本或扩展，却忘了更新它，导致 composer update 仍按旧平台约束递归求解。
打开 composer.lock，找到 platform 块，检查："php": "7.4.33"、"ext-curl": "*" 、"lib-libxml": "2.9.10" 这些是否与当前环境一致。
- 不一致时，
composer update --ignore-platform-reqs只是掩耳盗铃，下次在 CI 或生产环境必然失败 - 修改
platform后必须重新composer update，否则lock文件里记录的包版本可能仍基于旧平台推导 - 某些扩展（如
ext-gd）在不同 PHP 小版本中行为有差异，platform写太宽（比如"ext-gd": "*"）反而会让composer选到不兼容的包版本
递归依赖的本质是约束传播，不是版本数字打架。真正卡住的地方，往往藏在 platform 的松散声明、replace 的功能缺失、或者 why-not 输出里第三行那个不起眼的间接依赖里。
