如何处理 Composer 依赖的包中又包含了 vendor 目录的情况？

该问题源于包发布时错误包含vendor目录，导致依赖混乱、自动加载冲突及安全风险；应优先联系维护者修复，临时可用replace或fork方案，开发者需规范发布流程。

这种情况通常说明该包在发布时错误地把自身的 vendor 目录一起打包进去了，违反了 Composer 的标准实践。它会导致依赖嵌套混乱、自动加载冲突、安全风险（如重复引入不同版本的同名库）等问题，需要主动干预处理。

确认问题来源

先用以下命令检查具体是哪个包包含了 vendor 子目录：

• 运行 composer show --tree 查看依赖树，定位可疑包
• 进入 vendor/包名/ 目录，手动查看是否存在 vendor/ 子文件夹
• 访问该包的 GitHub/GitLab 仓库，检查其 composer.json 是否有 "files" 或 "autoload" 错误包含 vendor/，或打包脚本（如 .gitattributes）未排除 vendor/

优先联系维护者修复

这是最规范的解决方式。向包作者提 Issue 或 PR，建议：

• 在 .gitattributes 中添加 /vendor export-ignore
• 发布前清理本地 vendor，避免误打包
• 使用 composer archive 或 Packagist 的自动构建，而非手动压缩

临时绕过方案（不推荐长期使用）

若急需上线且无法等待修复，可采用以下方法隔离风险：

标签： js git json composer github 解压 gitlab