必须提交 composer.lock 且所有环境统一执行 composer install；禁止随意 run composer update；require 与 require-dev 须严格区分；禁用不稳定版本；platform 需显式约束以保障环境一致性。
必须提交 composer.lock，且所有环境统一执行 composer install —— 这是规范的底线，其他都是围绕它展开的细节。
为什么不能让团队随意运行 composer update
开发机上随手 composer update 会生成新 composer.lock，但没人验证过这个新版本组合是否通过全部测试。CI 流水线若仍用旧 lock 文件部署，就可能出现“本地能跑、线上报错”的经典问题。
- CI/CD 中必须用
composer install，禁用update（可在脚本里加--no-interaction --no-scripts防误触） - 升级依赖只能由专人操作：先
composer update vendor/package-name单独更新，再跑全量测试，确认无误后提交新composer.lock - Git 提交前建议加钩子检查：
git diff --quiet composer.lock || echo "lock changed: please verify"
require 和 require-dev 必须严格区分
把 PHPUnit 放进 require，会导致生产环境多装几十 MB 无关代码；反过来把 Guzzle 放进 require-dev，则线上发 HTTP 请求直接失败 —— 这类错误在灰度发布时才暴露，代价极高。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
require：仅放运行时真正需要的包（如monolog/monolog、guzzlehttp/guzzle） -
require-dev：只放开发/测试工具（如phpunit/phpunit、phpstan/phpstan） - CI 构建时可加
--no-dev参数跳过 dev 包，减小镜像体积和攻击面 - 上线前用
composer show --dev快速核对 dev 包是否意外混入
如何防止不稳定版本污染生产环境
写 "monolog/monolog": "dev-main" 或 "^2.0@dev" 看似方便，实则等于放弃版本控制。Packagist 上大量 dev- 分支无人维护，某天作者删库或改接口，你的服务就挂了。
- 在
composer.json顶层强制声明："minimum-stability": "stable"，"prefer-stable": true - 禁止在
require中出现@dev、@alpha、@beta标签（require-dev中允许，但需备注原因） - CI 中加入检查：
composer validate --strict会报错不合规的稳定性标签 - 安全扫描必须定期跑：
composer audit（PHP 8.1+ 内置）或composer outdated --direct --minor-only
platform 配置常被忽略，但它决定能否构建成功
本地 PHP 8.2 能跑的项目，到了线上 PHP 8.1 服务器上 composer install 直接失败 —— 因为某个依赖悄悄要求 php:^8.2，而 composer.json 没显式约束平台版本。
- 在
composer.json的config.platform下硬编码目标环境版本："php": "8.1.10" - 这会让 Composer 在解析依赖时，假装当前 PHP 是 8.1.10，从而避开要求更高版本的包
- 避免使用
*或模糊范围（如^8.1），精确到 patch 版本更稳妥 - 搭配
composer check-platform-reqs命令，上线前快速验证环境兼容性
真正难的不是写几条规则，而是让每条 composer require 都经过评审、每次 composer.lock 变更都附带测试报告、每个 platform 配置都和线上真实环境对齐 —— 这些细节不落地，规范就只是文档里的装饰文字。
