composer install 不按 composer.lock 安装的根本原因是它仅校验 lock 文件存在且合法，不验证其与 composer.json 的一致性；正确回退依赖需先 git checkout 还原 lock，再执行 composer install --no-updates。
Composer install 为什么没按 composer.lock 装？
因为 composer install 只会严格遵循当前存在的 composer.lock 文件安装依赖；如果 lock 文件被改过（比如手动编辑、合并冲突、或 git 还原后没触发重装），它不会自动校验“这个 lock 是否匹配 composer.json”，更不会回退到上一个版本的 lock 状态。
换句话说：composer install 不是“回退命令”，它只是“按 lock 装”。想回到上一次的依赖状态，核心是先还原 composer.lock，再确保 install 行为不跳过 lock 或引入新变更。
- 常见错误现象：
git checkout HEAD~1 -- composer.lock && composer install后依赖没变，或者报Package xyz has a new version... - 根本原因：
composer install默认跳过更新 lock（即使你刚换了个 lock 文件），它只检查 lock 是否存在且格式合法，不校验其与composer.json的一致性是否“可接受” - 正确做法是加
--no-updates显式禁止任何变动，避免 Composer 自作主张“优化”你的 lock
用 git 还原 composer.lock 后必须加 --no-updates
Git 还原 lock 文件只是把文件内容改回去，但 Composer 不会因此自动重新解析依赖树。如果不加约束，composer install 可能悄悄升级某些包（尤其当本地 repo 缓存里有新版 dist 包时）。
真实场景：CI/CD 流水线中，从 tag 构建时想确保和当时 commit 的 lock 完全一致，漏掉 --no-updates 就可能引入非预期版本。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
git checkout abc123 -- composer.lock（先还原 lock） -
composer install --no-updates（强制只装 lock 里写的版本，不查网络、不改 lock） - 别用
composer update—— 它会重写 lock，彻底丢掉你想回退的那个状态 - 如果提示
Your lock file does not contain a compatible set of packages，说明还原的 lock 和当前composer.json冲突（比如 json 删了某个 require，但 lock 还留着），这时不能硬装，得先理清变更来源
composer.lock 被误删或损坏，怎么安全找回上一版？
lock 文件不是生成出来的“产物”，而是依赖快照，丢了就不能靠 composer install 恢复 —— 它会退化成 composer update 行为（即装最新兼容版），结果不可控。
唯一可靠方式是从 Git 历史里捞。但要注意：不是所有历史 commit 都有有效 lock，有些 CI 提交可能跳过 lock 提交，或 .gitignore 误排除了它。
- 先确认 lock 是否在 Git 中：
git log --oneline -- composer.lock - 找最近一次带 lock 的提交：
git show abc123:composer.lock > composer.lock - 验证还原后的 lock 是否可用：
composer validate --strict（检查语法+完整性） - 再执行
composer install --no-updates，此时才是真·回退 - 如果项目用 monorepo 或子模块，注意 lock 文件路径可能不是根目录，比如
packages/foo/composer.lock
为什么不用 composer update --lock 回退？
这个命令根本不存在。composer update 永远重写 lock，--lock 不是合法参数，加了会报错 Unrecognized option: --lock。有人混淆了 npm 的 npm ci 或 yarn 的 yarn install --frozen-lockfile，但 Composer 没对应机制。
真正接近“冻结安装”的只有 composer install --no-updates，它不联网、不改 lock、不推导新版本 —— 是唯一能守住 lock 快照的开关。
- 别信网上搜到的
composer update --lock或composer install --force-reinstall，后者会重装全部包但依然按当前 lock，无法解决“lock 本身错了”的问题 - 如果你发现团队经常需要回退 lock，说明流程有问题：比如没把 lock 提交进 Git、或 merge 时随意 resolve lock 冲突
- 最易忽略的一点：Docker 构建中，如果 COPY 顺序把
composer.json放在composer.lock前面，会导致缓存失效并意外触发 update —— 顺序必须是先 COPY lock，再 COPY json
