比对 composer.lock 文件最可靠，因其精确记录版本、哈希、URL 和依赖关系；需统一 platform 配置，可用 diff 命令聚焦关键字段或 composer-lock-diff 工具语义化对比。
直接比对 composer.lock 文件最可靠
Composer 本身不提供跨环境或跨版本的依赖差异命令，composer show 或 composer outdated 只反映当前状态，不能替代快照比对。真正可落地、可复现的方式是比对两个 composer.lock 文件——它精确记录每个包的版本、哈希、源 URL 和完整依赖关系，不受 vendor/ 内容干扰。
操作要点：
- 确保两边环境使用相同的
platform配置（如"php": "8.2.0"），否则 lock 文件会因平台约束不同而大量“假变更” - 生产环境导出的 lock 文件建议重命名为
composer.lock.prod，本地执行composer update --lock后再比对 - 用
diff -u composer.lock composer.lock.prod | grep "^\([+-]\|\"name\"\|\"version\"\)"聚焦关键字段，避免被哈希、dist URL 等噪声淹没
用 composer-lock-diff 快速生成可读差异
composer-lock-diff 是专为这个场景设计的工具，能跳过原始 JSON diff 的混乱输出，直接标出增删改包、版本升降、路径变化等语义级变动。
安装与使用：
- 全局安装：
composer global require clue/composer-lock-diff - 备份旧 lock：
cp composer.lock composer.lock.bak - 执行更新后运行：
composer-lock-diff composer.lock.bak composer.lock - 支持 Git 集成：在 CI 中可加
--format=github输出 Markdown 表格，方便 PR 评论区查看
注意：它不解析 composer.json，只对比 lock 文件；若你改了 composer.json 但没 update，它不会提示“缺失”，只会显示 lock 未变。
为什么不用 composer show --tree 直接 diff？
composer show --tree 输出受终端宽度、排序方式、ANSI 颜色控制影响，直接 diff 极易失效。比如同一依赖树，一次输出按字母序排包名，另一次按深度优先，diff 会报满屏差异，但实际结构没变。
若真要用树状结构辅助判断，必须标准化输出：
- 去掉颜色：
composer show --tree --no-ansi - 强制扁平+排序（适合单包）：
composer show --tree --no-ansi monolog/monolog | sort - 完整依赖图仍推荐走
--locked --format=json+jq -S格式化后再 diff
特别提醒：composer show 不带 --locked 时查的是当前 vendor/ + composer.json 声明，可能混入 path repo 或 dev 包，导致结果失真。
CI 中检测 lock 是否过期，别用 diff 文本
很多团队误用 diff -q composer.json composer.lock 判断同步性，这完全无效——两者语义不同，composer.json 是范围声明，composer.lock 是结构化快照，改一个 PHP 版本，lock 文件可能重排整个 packages 数组。
正确做法只有一条：composer install --dry-run
- 它不写文件、不下载，只校验 lock 是否能完全满足当前
composer.json - 失败时明确报错，如
Your lock file does not contain the required package "foo/bar"或The lock file is not up to date - CI 脚本中务必先清空
vendor/和临时 lock，再跑该命令，否则可能绕过校验
真正容易被忽略的是：这个命令只验证“lock 能否支撑 json”，不验证 lock 文件自身是否合法（比如手动编辑后哈希错乱）。所以生产部署前，还得加一道 composer validate。
