composer update --lock是唯一安全的“只更新lock”方式：它不升级包、不修改vendor、不触发网络请求，仅重算哈希与格式，适用于修改composer.json非依赖字段后同步lock文件。
直接删 composer.lock 再跑 composer install 不是终极解法，而是最危险的操作——它会绕过所有版本约束一致性保障，极大概率导致生产环境行为漂移。
为什么“删 lock + install”看似干净，实则埋雷
Composer 的 composer.lock 文件不是缓存，是契约：它明确记录了每个包的精确版本、哈希值、下载源和依赖拓扑。一旦删除，composer install 就变成“全新解析”，但这个解析过程不保证结果与原环境一致，尤其当：
- packagist.org 上已有新版本发布（比如
monolog/monolog刚发布了3.6.0，而你原来锁的是3.5.0） - 某个间接依赖的
require-dev里混进了不稳定分支（如"phpunit/phpunit": "dev-main"），新解析会把它拉进来 - 你的 PHP 版本或扩展状态变了（比如本地升级到 PHP 8.3，但
composer.json没配"platform"），新解析可能默认选了不兼容的包
真正该用的命令是 composer update --lock
这个命令干一件事：不升级任何包，只按当前 composer.json 重新生成 composer.lock 文件。它保留所有已安装包的实际版本，仅刷新 lock 文件结构、补全缺失字段、重排依赖顺序、校验哈希一致性。
适用场景包括：
- 你改了
composer.json里的minimum-stability或platform配置，但不想触发任何包升级 -
composer.lock被手动编辑过或 Git 合并冲突残留了脏内容 - CI 环境报 “lock file is not up to date with composer.json”，但你确认不需要更新依赖
执行后，git diff composer.lock 通常只显示元数据变动（如 content-hash、packages 数组重排），不会出现版本号变更。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
遇到死循环（cycle detected）时，别急着删文件
Composer 报 cycle detected，本质是依赖图里出现了 A → B → C → A 这类闭环，常见于：
- 某包在
require和require-dev中重复声明，且版本约束冲突（如"symfony/console": "^5.4"和"symfony/console": "^6.2"并存） - 用了
"replace"或"provide"但没处理 autoload 冲突，导致 Composer 在解析时反复回溯 - 第三方包自身
composer.json有错误约束（比如要求自己旧版又要求自己新版）
此时应：
- 先运行
composer depends --tree vendor/package定位谁在引入那个可疑包 - 再用
composer why-not vendor/package:version查具体哪条路径卡死了版本 - 检查
composer show --tree输出中是否出现同一包多个版本反复嵌套（如monolog/monolog v2.10.0下又引出v3.5.0）
只有当以上都排查无果，且你确认项目可接受“重置依赖起点”，才考虑删 vendor/ 和 composer.lock，但必须配合 composer clear-cache ——否则 Composer 仍可能从 ~/.composer/cache/ 解压旧 zip，你以为重装了，其实只是缓存复用。
强制重建 ≠ 强制重装，关键在目的区分
你真正需要的，往往不是“全部重来”，而是“可控刷新”：
- 想修复 lock 文件结构损坏？→
composer update --lock - 想让某几个包降级到已知兼容版本？→ 先在
composer.json改死版本号，再composer update vendor/package - 想彻底清空并验证最小可行依赖集？→ 删
vendor/+composer.lock+composer clear-cache+composer install，但务必确保composer.json已经人工校验过，没有"*"或"dev-*"这类高风险写法
最容易被忽略的一点：重装后 vendor/bin/ 下的二进制文件（如 phpunit、php-cs-fixer）路径可能变化，IDE 和 shell 的缓存不会自动刷新，composer dump-autoload -o 也必须重跑——否则类加载器仍指向旧的 autoload_*.php，问题会以更隐蔽的方式复现。
