为何Composer会提示composer文件中不存在的包需要更新？

• 你看到的未在根composer.json声明的包属于依赖的依赖，也就是你显式安装的包自身又引入的次级、多级依赖，Composer会自动递归拉取所有层级的依赖包放到vendor目录，这些包不会出现在你的根composer.json里，但会记录在composer.lock文件中，所以你清理Composer缓存、重建Homestead环境后还是会拉取到这些包。
• 如果你之前切换过项目分支、修改过composer.json后未执行完整的依赖更新，旧版本依赖残留也会留在vendor目录。

• 直接手动删除vendor下的对应包文件不可取，可能会导致依赖完整性被破坏，出现运行时报错、类找不到等问题。

• 执行composer depends <警告中出现的过期包名>命令，可以直接追溯到是哪个顶层依赖引入的该过期包，确认包的归属后再做后续处理。
• 要清理过期无用依赖，优先执行composer uninstall <包名>，如果包是其他依赖的子依赖无法直接卸载，先检查根composer.json中是否有废弃的顶层依赖，卸载对应顶层依赖后Composer会自动清理不再被需要的子依赖。
• 如果要彻底清理所有残留文件，可直接删除整个vendor目录和composer.lock文件，再重新执行composer install，即可得到完全匹配当前依赖声明的完整包目录，不会有多余残留。

内容的提问来源于stack exchange，提问作者Spencer Hill