应使用语义级工具而非直接 diff composer.lock——因其字段顺序、哈希、时间戳等易受composer版本和平台影响产生噪声；推荐用composer show --outdated快照比对或composer-lock-diff结构化解析。
直接看 composer.lock 的 diff 是不可靠的——它不是纯语义化文本，字段顺序、空格、哈希值排列都可能因 Composer 版本或平台差异而变，git diff 会显示大量“假变更”。真要对比两个版本的依赖变化，得用语义级工具，而不是 raw diff。
用 composer show --outdated 配合两次快照比对（最轻量）
适用于本地开发中想快速知道“从 A 提交到 B 提交，哪些包实际升级/降级了”：
- 在分支 A 的提交上运行：
composer show --outdated --direct --no-ansi > outdated-A.txt（--direct只看 root 依赖） - 切到分支 B，同样运行：
composer show --outdated --direct --no-ansi > outdated-B.txt - 用
diff -u outdated-A.txt outdated-B.txt或 VS Code 内置 diff 工具查看差异 - 注意：
composer show --outdated只显示有更新可用的包，不反映已锁定但未变动的依赖；若想看全部已安装版本，改用composer show --no-ansi | sort > installed-A.txt
用 composer-lock-diff 工具做结构化解析（推荐）
这是目前最接近“语义 diff”的方案，它解析 composer.lock JSON 结构，只比对 packages 和 packages-dev 中的 name、version、source/reference，忽略哈希、生成时间、平台信息等噪声：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 全局安装：
composer global require janephp/composer-lock-diff - 在项目根目录执行：
composer-lock-diff path/to/old/composer.lock path/to/new/composer.lock - 输出示例：
symfony/console: 5.4.32 → 6.4.10 (major)，并标注是否为 dev-only 变更 - 注意：它不处理 lock 文件缺失字段（如旧版无
type字段），但兼容 Composer 1.x / 2.x 生成的 lock；若提示JSON decode error，先用jsonlint检查 lock 是否损坏
为什么不能直接 git diff composer.lock？
因为 composer.lock 不是设计给人读的 diff 对象：
- 字段顺序不稳定：Composer 2.2+ 默认按字母序排
packages，而 1.x 是按写入顺序；同一份依赖，不同 Composer 版本生成的 lock 文件 diff 会“全红” - 哈希值长度不一致：GitLab CI 和本地 macOS 生成的
dist/sha256可能差几位（末尾补零逻辑不同），导致整行标为变更 - 时间戳和平台字段：如
generatedAt、platform-check每次 install 都变，毫无业务意义 - 真实案例：仅执行
composer install（无composer.json修改），lock 文件 diff 可能高达 300+ 行，但 99% 是噪声
真正要定位依赖变更，必须跳过文本层，进入包元数据语义层。哪怕只是临时用 jq 提取版本字段再 diff：jq -r '.packages[] | "\(.name) \(.version)"' old.lock | sort > v1.txt，也比裸 diff 可靠得多。别让 git 的“看起来变了”误导你去回滚不该动的东西。
