必须提交composer.lock到git，因其记录精确版本、依赖树和sha256哈希值，确保开发、ci与生产环境依赖完全一致；不提交将导致composer install退化为update，引发版本混乱与运行时错误。
Composer 依赖版本锁定靠 composer.lock 文件实现，不是靠 composer.json 里的版本号——后者只是范围约束，真正决定装哪个版本的是 lock 文件。
为什么 composer.lock 必须提交到 Git
不提交 lock 文件，就等于放弃环境一致性。同一份 composer.json 在不同机器上运行 composer install 可能装出完全不同的依赖树，尤其当包发布了新 patch 版本时。
- CI/CD 流水线拉代码后执行
composer install，若无 lock 文件，会触发composer update行为（即解析最新兼容版本），结果不可控 - 生产服务器部署时，
composer install读不到 lock 文件，就会退化成update，可能引入未测试的变更 - 团队协作中，A 同学本地
update了某个包但没提交 lock，B 同学install就会拿到旧版，两人 vendor 目录实际不一致
composer install 和 composer update 的行为差异
这两个命令根本不是“安装”和“升级”的简单对应关系，它们的触发逻辑完全不同：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer install：只看composer.lock，按里面记录的精确版本、commit hash、dist url 安装。没有 lock 文件才 fallback 到update -
composer update：忽略 lock 文件，重新解析composer.json中所有版本约束，计算最新满足条件的版本组合，并重写 lock 文件 - 日常开发中，新增一个包用
composer require foo/bar，它默认执行update；但上线前必须确保 lock 文件已提交，且生产环境只跑install
稳定性标记怎么影响 lock 文件内容
当你用 @beta 或 --stability=dev 装了一个不稳定版本，这个精确版本（比如 v3.2.0-beta2 或 dev-main#abc123）会被写进 lock 文件。下次 install 就会严格装这个 commit，不会自动升到 dev-main#def456。
-
minimum-stability是全局兜底策略，只在没显式指定稳定性时起作用；一旦你在require里写了"foo/bar": "dev-main"或"foo/bar": "^2.0@rc"，它就直接生效，lock 文件记下的就是那个具体快照 -
prefer-stable: true不会阻止你装dev-main——只要你明确写了，它照装，只是会在其他包有 stable 和 rc 两个可选时，优先挑 stable - 最危险的操作是：改了
minimum-stability后直接composer update，lock 文件可能悄悄混入一堆dev-分支，而你没注意到
生产环境部署必须加的参数
仅靠 composer install 还不够，必须强制排除开发依赖并启用优化：
-
--no-dev：跳过require-dev里的包（如 phpunit、phpstan），避免把测试工具打进生产镜像 -
--optimize-autoloader：生成 classmap 加速自动加载，减少文件 stat 开销；对 PSR-4 包尤其有效 -
--no-interaction：防止因缺少交互输入（如 GitHub token 提示）导致 CI 卡住 - 不要在生产机上运行
composer update，哪怕加了--no-dev—— 它仍会重算依赖、改 lock 文件，破坏可重现性
真正难的不是写对命令，而是让整个流程里所有人（包括 CI 脚本、运维脚本、新同事）都默认信任 lock 文件，而不是习惯性去 update。一旦有人绕过 lock，稳定性就从根上松动了。
