当包被标记为废弃时，Composer会提示风险并建议替代方案。应评估影响、寻找替代、测试兼容性，必要时分叉维护或通知上游。通过工具和CI流程可预防引入废弃包，确保项目可维护性。
当一个 Composer 包被标记为废弃（abandoned），Composer 会在安装或更新时给出提示，帮助开发者意识到该包可能不再维护。处理废弃包的关键在于识别风险并寻找合适的替代方案。
如何识别被废弃的包
当你运行 composer install 或 composer update 时，如果某个依赖包已被作者标记为废弃，Composer 会输出类似以下信息：
Package some/abandoned-package is abandoned, you should avoid using it. Use new/package instead.
这表示该包已不再推荐使用，并可能提供了一个建议的替代包。
应对废弃包的建议做法
面对废弃包，你可以采取以下几个步骤：
- 评估影响范围：检查项目中哪些组件依赖这个废弃包，是否为核心功能，替换成本高不高。
- 查找替代方案：根据提示推荐的替代包，或在 Packagist 上搜索活跃维护的同类库。
- 测试替代包兼容性：在开发环境中尝试替换，并运行测试确保功能正常。
- 考虑分叉维护（Fork）：若没有合适替代且项目必须使用，可将原包 fork 到自己仓库继续维护。
- 通知团队或上游项目：如果你是通过其他依赖间接引入废弃包，可以反馈给上游维护者推动更新。
如何防止引入废弃包
可以通过工具增强项目安全性：
- 使用 composer-unused 或 depcheck 等工具定期检查依赖健康状况。
- 结合 CI 流程，在构建时检测是否存在废弃包，自动报警或中断部署。
- 关注 Packagist 页面状态，避免手动添加已标记为 abandoned 的包。
基本上就这些。Composer 不会阻止你使用废弃包，但会明确提醒风险。及时响应这些提示，有助于保持项目的长期可维护性和安全性。