composer.lock是php应用部署的强制契约，非可选缓存；它使composer install严格按锁定的精确版本、commit hash和sha256校验值安装，忽略composer.json中所有版本约束，确保环境一致、构建可重现。
composer.lock 文件不是“可选缓存”，它是 PHP 应用部署的强制契约——没它，composer install 就会失控，线上报错几乎必然发生。
为什么 composer install 会忽略 composer.json 里的版本号
因为 composer.lock 存在时，composer install 根本不解析 composer.json 中的 ^2.9、~3.1 或 2.9.* 这类约束。它只认锁文件里写的精确字段：
-
"version": "2.9.1"—— 不是“满足 ^2.0 的最新版”，就是 2.9.1 -
"source": {"reference": "a1b2c3..."}—— 对应 Git commit hash，确保源码一致 -
"dist": {"sha256": "e3b0c4..."}—— 压缩包校验值，防下载篡改或镜像污染
一旦删掉 composer.lock，composer install 会直接报错 No composer.lock file present；而你若强行运行 composer update 来“补上”，等于重抽一次依赖签——结果可能装上 monolog/monolog 3.0.0（接口已变）或 guzzlehttp/guzzle 7.2.0（带 DNS 缓存 bug）。
哪些操作必须提交 composer.lock 到 Git
应用项目（Laravel、Symfony、CLI 工具等）中，以下变更后，composer.lock 必须全量提交：
- 修改
composer.json的require或require-dev字段（哪怕只加一个phpunit/phpunit） - 调整
platform（如"php": "8.2.15"）、minimum-stability或prefer-stable - 运行过
composer update、composer require或composer remove
但改 scripts、name、description 这类字段，无需碰 composer.lock。库项目（SDK、组件包）则相反：不提交 composer.lock，由下游决定依赖。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
CI/CD 流水线里为什么不能用 composer update
CI 脚本中出现 composer update，等于主动放弃构建可重现性：
- 每次构建都可能拉到不同 patch 版本（比如
symfony/http-foundation6.4.10 → 6.4.11），引入未经验证的行为变更 - 安全扫描工具（如
composer audit）因基线丢失而失效 - Git 回滚到旧 commit 后，
composer install装不出当时线上跑的那一套依赖
正确做法是：composer install --no-dev --no-interaction --no-progress，并前置校验：composer install --dry-run。若提示 lock file is not up to date，说明 composer.json 和 composer.lock 不一致，应中断流程。
误删或损坏 composer.lock 怎么办
别跑 composer install，也别立刻 composer update 重建——那是在重开方子，风险极高。优先恢复快照：
- 查最近有效 commit：
git log -n 5 --oneline -- composer.lock - 恢复文件：
git checkout <commit-hash> -- composer.lock</commit-hash> - 再执行：
composer install，还原出和上次发布完全一致的vendor/
如果已推送到远端且没人恢复，就从 main 或 release/* 分支取。真正容易被忽略的是：composer.lock 的效力依赖基础环境一致——比如 CI 机器 PHP 是 8.5.5，但 composer.json 里 config.platform.php 写的是 "8.2.15"，即使 lock 文件完好，install 也可能失败。
