中台核心库必须锁死三位纯数字版本（如"1.4.2"），禁用^/~：因稳定性要求极高，自动升级可能引入未测接口变更或日志调整，且不同composer版本解析不一致，易导致环境间行为漂移。
中台项目的核心库必须用 composer require 声明在 composer.json 中，且版本号写死为三位纯数字（如 "acme/core-sdk": "1.4.2"），否则部署时会因语义化版本解析不一致导致核心行为漂移。
为什么中台核心库不能用 ^ 或 ~ 版本约束
中台服务对稳定性要求极高，一次 composer update 升级到 1.4.3 可能引入未被充分测试的接口变更或日志格式调整，而 "^1.4" 在不同 Composer 版本下解析结果不一致：Composer 2.2 会升到 1.4.9，2.5 则可能跳过补丁直接尝试 1.5.0。更危险的是 "~1.4.0" 会被某些旧镜像源误判为允许 1.4.* 全部子版本，但实际依赖树中某个间接包又强制要求 >=1.4.5，最终装出未验证过的组合。
- 中台核心库升级必须走灰度发布流程，不是“自动兼容”就能放行
- 所有环境（开发、预发、生产）必须安装完全相同的
acme/core-sdk二进制快照，靠composer.lock的 SHA256 校验值保障 - 若需临时验证新版本，应显式运行
composer require acme/core-sdk:1.4.3 --no-update，再人工检查 diff 后执行composer update acme/core-sdk
如何让核心库变更可追溯、可回滚
中台项目不是单体应用，核心库升级常伴随 API 协议、DTO 结构、鉴权逻辑三重变更。仅靠 composer.lock 不足以定位问题根源。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 每次更新核心库前，必须在 Git 提交信息中注明变更点，例如：
chore(core-sdk): upgrade to 1.4.2 — adds X-Request-ID header, breaks legacy /v1/auth/token - 在
composer.json的extra字段记录对应文档链接："extra": {"core-sdk-changelog": "https://docs.acme.internal/changelog/core-sdk/1.4.2"} - 禁止直接修改
vendor/acme/core-sdk目录——所有 patch 必须提 PR 到核心库仓库，打 tag 后通过composer require acme/core-sdk:v1.4.2-patch1引入
CI/CD 流水线里 composer install 和 composer update 怎么选
中台项目的 CI 流水线必须严格区分构建阶段与发布阶段，且禁止在构建镜像时执行 composer update。
- 构建阶段（Docker build）只运行
composer install --no-dev --optimize-autoloader，确保使用composer.lock中锁定的版本 - 发布阶段（K8s rollout）前，需人工确认
composer.lock已提交且与本次发布清单一致；若漏提交，composer install会静默退化为按composer.json重新解析，可能装出1.4.1而非预期的1.4.2 - CI 脚本中若出现
composer update --no-dev，必须加--dry-run并输出 diff，否则任何未被git add的composer.json修改都会导致 lock 文件被覆盖
真正难的不是写对版本号，而是让所有人理解：中台核心库不是普通依赖，它的每一次变更都等价于一次微服务接口发布。锁死版本只是底线，配套的文档同步、灰度策略、回滚预案，缺一不可。
