废弃包指不再维护的 composer 包，可能有安全风险，packagist 上会被标记并推荐替代方案，名称无法再发布新版本；执行 composer install 或 update 时会提示警告，如“package some/old-package is abandoned, you should avoid using it. use new/package instead”，虽不阻止安装但建议替换；应对措施包括优先迁移至推荐包、评估是否必需、自行 fork 维护等；可通过定期更新、ci 检查和查看 packagist 状态来避免引入废弃包。
当一个 Composer 包被标记为废弃（abandoned），它意味着该包不再维护，开发者通常会推荐一个替代方案。Composer 在安装或更新时会明确提示这个状态，帮助你评估是否继续使用。
什么是废弃包？
在 Packagist 上，一个包可以被其维护者或协作者标记为“abandoned”。这表示：
- 项目不再积极维护
- 可能存在安全漏洞或兼容性问题
- 官方可能推荐了一个替代包（如 "replaced by vendor/new-package"）
一旦被废弃，该包名称不能再上传新版本，防止后续滥用。
Composer 如何提示废弃状态？
当你执行 composer install 或 composer update 时，如果依赖了废弃包，Composer 会在终端输出警告信息，例如：
这个提示不会阻止安装，但强烈建议你尽快替换。
你应该怎么做？
面对废弃包，你可以采取以下措施：
- 查看提示中是否有推荐的替代包，优先考虑迁移
- 检查你的项目是否真的需要这个包，能否用其他方式实现功能
- 如果必须继续使用，确保你了解潜在风险，比如无人修复的安全问题
- 考虑 fork 原包并自行维护，特别是在关键业务场景中
如何避免使用废弃包？
可以通过一些工具和习惯减少引入废弃包的风险：
- 定期运行 composer update 并关注输出警告
- 使用静态分析工具或 CI 检查依赖健康状况
- 查阅 Packagist 页面手动确认包的状态
基本上就这些。Composer 不会自动阻止废弃包的安装，但它提供了清晰的提醒，关键是你要重视这些信号，及时响应维护变化。
