composer install 严格按 composer.lock 执行安装指令，完全忽略 composer.json 的版本约束，通过精确版本号、commit hash、dist url 和校验和实现原样还原，确保环境一致性。
Composer 读 composer.lock 不是“参考”，而是“执行指令”——只要文件存在，composer install 就完全忽略 composer.json 里的版本范围，只按 lock 文件里写的版本号、commit hash、dist URL 和校验和安装。
composer install 为什么只认 lock 文件？
因为它的设计目标不是“装最新兼容版”，而是“原样还原”。一旦 composer.lock 存在，Composer 就跳过所有依赖求解逻辑，直接进入下载与校验阶段。
- 它会检查
"version": "7.9.0"，而不是去 Packagist 查guzzlehttp/guzzle是否有7.10.0 - 它会校验
"dist": { "sha256": "a1b2c3..." }，哪怕你本地缓存里有同名 tar 包，哈希不匹配就重下 - 它会按
"source": { "reference": "abc123def" }检出 Git commit，不是分支名或 tag
lock 文件里哪些字段最关键？
别被 JSON 结构吓住，真正影响安装行为的就这几个字段：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
"packages"和"packages-dev"：生产/开发依赖分开锁死，composer install --no-dev只读前者 -
"name"+"version"：包名和精确版本，如"monolog/monolog": "2.9.1" -
"dist"下的"url"和"sha256"：决定从哪下、下完是否可信 -
"source"下的"reference"：Git 仓库对应 commit，用于git clone后检出 -
"require"（在每个 package 内）：记录该包自己依赖谁，保证嵌套依赖也被锁定
常见错误：误删 lock 文件后直接 run install
这不会“重建”快照，只会报错 Could not find a composer.json file in /path 或静默失败（取决于 Composer 版本），因为 composer install 在没有 lock 文件时拒绝执行——它不提供 fallback 行为。
- 正确做法是：从 Git 恢复最近一次有效的
composer.lock，再composer install - 若已推送到远端且含错误 lock，必须
git revert对应 commit，不能手动改再 commit - CI 脚本里出现
composer install但没提供 lock 文件，说明流程漏掉了提交环节
lock 文件冲突了，为什么不能手动合并？
它不是键值对列表，而是整个依赖图的序列化快照。两个 lock 文件差异可能反映的是两棵完全不同的依赖树，比如 A 分支锁了 symfony/http-client 6.4.0，B 分支锁了 7.1.0，中间还夹着十几层子依赖版本偏移。
- 手动删几行、留“这边的 version”、换“那边的 sha256”，大概率导致
Your lock file does not contain a compatible set of packages - 正确做法：用
git checkout --ours composer.lock或--theirs任选其一恢复，然后删掉vendor/，再composer install - 如果
composer install报校验失败，说明composer.json已被他人修改，先git pull，再重试
最易被忽略的一点：lock 文件里记录的 composer 自身版本（"composer-version" 字段）虽不影响安装，但它是诊断依据——如果你用 Composer 2.5 生成的 lock，别人用 1.10 安装，可能因解析逻辑差异出问题。别只盯着包版本，也看工具链一致性。
