手动编辑 composer.lock 最危险，因其是自动生成的依赖快照，手改必致 content-hash 校验失败；冲突源于结构敏感性与协作不匹配，唯一安全解法是 composer update --lock 重建契约。
直接手动编辑 composer.lock 是最危险的解法——它不是配置文件，而是 Composer 自动生成的依赖快照，任何手改都会导致 content-hash 校验失败，后续 composer install 报 Invalid argument supplied for foreach() 或直接拒绝执行。
为什么 git 合并时 composer.lock 总是冲突
冲突不是偶然，而是结构敏感性 + 协作模式不匹配的必然结果：
-
content-hash字段对composer.json内容（包括空格、换行、字段顺序）完全敏感；不同 PHP 版本、不同 Composer 版本生成的哈希值也不同 - 多人同时运行
composer update或composer require，会导致依赖树中包的排列顺序、嵌套层级、甚至间接依赖版本微调，Git 就把整个文件标为冲突 - 没启用
"sort-packages": true配置，同一组包在不同机器上写入 lock 文件的顺序不一致 → “假冲突”频发
composer update --lock 是唯一安全的重建方式
这个命令不碰 vendor/，不重解析依赖树，只根据当前 composer.json 重新生成 lock 文件结构和哈希。它解决的是“契约一致性”，不是“版本升级”。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 必须先确保
composer.json已无冲突且是你期望的最终状态（可用git checkout --ours composer.json或--theirs快速选取） - 删掉当前冲突的
composer.lock（或先mv composer.lock composer.lock.bak备份） - 运行
composer update --lock→ 它会读取已安装的vendor/（如有），复用其中所有包的实际版本，仅刷新 lock 文件格式与哈希 - 若
vendor/已清空（如 rebase 中），改用composer install --no-interaction，前提是当前composer.lock还能被正常解析（否则先拉最新 lock 再试）
CI/CD 流水线里报 Your lock file does not contain a compatible set of packages
这说明构建环境拿到的 composer.json 和 composer.lock 不匹配，常见于 PR 合并遗漏了 lock 更新，或 CI 脚本误用了 --no-lock。
- CI 第一步必须加校验：
composer validate --strict，提前拦截 json/lock 不一致 - 绝对不要在 CI 脚本里写
composer update—— 构建结果不可重现，线上行为无法复现 - 修复动作只能是：删
composer.lock→composer install→ 提交新 lock；或更稳妥地，先git checkout origin/main -- composer.lock拉主干最新版再 install - 把
composer.lock是否已提交加入 PR 模板 checklist，强制人工确认，而不是靠工具“自动跳过”
真正容易被忽略的点在于：很多人以为冲突只是“文件内容不一样”，其实本质是“两个人基于不同的 composer.json 快照生成了互斥的契约”。所以一切操作的前提，永远是先对齐 composer.json，再交由 Composer 自己重签 lock —— 手动合并 JSON，等于让两个编译器各自输出汇编代码后，拿文本编辑器去缝合二进制。
