确认lock与vendor不一致应先运行composer install --dry-run，若输出反复重试下载已存在的包，或手动比对dist.sha256与vendor目录实际哈希值不匹配，即坐实损坏；此时应备份后执行composer update --lock对齐哈希，而非直接删除vendor或lock。
Composer 依赖库损坏不是文件丢了才叫损坏，而是 composer.lock 记录的哈希值和实际 vendor/ 里解压出来的包内容对不上——这时 composer install 会静默跳过校验，但 composer update 或 composer install --prefer-dist 可能失败或装错版本。
怎么确认是 lock 文件与 vendor 内容不一致？
运行 composer install --dry-run，如果输出里出现类似 Installing vendor/package (1.2.3): Downloading (failed) 或反复重试下载同一包，但本地 vendor/package 目录明明存在，大概率是哈希校验失败。更直接的方法是手动比对：
- 打开
composer.lock，找到目标包的"dist": {"sha256": "..."}字段 - 进入
vendor/package，执行find . -type f -exec sha256sum {} \; | sha256sum（Linux/macOS）或用 PowerShell 计算整个目录哈希 - 两者不一致，就坐实了“损坏”——不是删了文件，而是内容被意外修改过（比如 IDE 自动格式化、Git 换行符转换、手动改了 vendor 里的代码）
别直接删 vendor/ 或 lock 文件
删 vendor/ 只解决表象，删 composer.lock 更危险：它会让 Composer 重新求解整个依赖图，可能引入你没测试过的子依赖组合。真正该做的是让锁文件和实际内容重新对齐：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 先备份当前
vendor/和composer.lock - 运行
composer update --lock：它只重写composer.lock中的哈希值和文件大小字段，不改动任何已安装包，也不触发依赖重算 - 如果提示某包无法访问 dist 包（如 404），说明那个包在 Packagist 上已被移除或重命名，得查
composer show vendor/package确认是否还存在，再决定是换源、降级还是找替代
为什么 composer install 不报错，但运行时出问题？
因为 composer install 默认信任 composer.lock，只要 vendor 目录存在，就跳过完整性校验直接加载。但以下情况会让问题暴露：
- 你用了
--prefer-source，而源码仓库的 commit hash 在 lock 里记录的是旧的，实际克隆下来的内容已变 - 某个包的
autoload规则依赖特定文件结构，但手动改过 vendor 里的文件，导致类找不到 -
composer.lock里写了"platform": {"php": "8.1.0"}，但本地 PHP 是 8.2，某些包的require逻辑在 8.2 下行为不同，而 lock 文件没体现这种隐性差异
团队协作中如何预防 lock 与 vendor 不一致？
Git 本身不校验文件内容哈希，所以靠约定不如靠机制：
- 在 CI 流程里加一步：
composer install --no-scripts && composer show --locked | grep -E '^(name|version|source|dist)' | sha256sum，和本地 lock 哈希比对 - 禁用 IDE 对
vendor/的自动格式化（PhpStorm 设置里关掉 “Reformat code on save” for vendor） - 所有成员统一用
composer install --prefer-dist，避免混用 source/dist 导致路径或符号链接差异
最常被忽略的一点：lock 文件里的 content-hash 字段只是对 composer.json 内容的摘要，它不保证 vendor 里每个文件都完好。真正校验 vendor 完整性，只能靠 dist.sha256 或 source.reference —— 这些字段一旦被绕过或失效，问题就会藏到运行时才爆发。
