最硬核的第一道防线是 chmod 444 composer.lock，它通过系统权限禁止写入，使 composer 尝试保存时直接报错；再配合精确版本号和 conflict 规则锁定核心包，并在 ci 中校验 lock 文件一致性。
Composer 没有“只读模式”，也不存在全局开关能一键冻结所有包——所谓“防止核心包被改”，本质是分层控制：对 composer.lock 文件用系统权限拦写入，对具体包用精确版本号或 conflict 规则锁死解析路径。
为什么 chmod 444 composer.lock 是最硬核的第一道防线
很多人以为加个 --no-scripts 或改 config 就能防 lock 被改，其实完全无效。决定 composer.lock 是否重写的，只有两个事实：你运行的是 composer install 还是 composer update；以及当前 composer.json 和 composer.lock 是否一致。而 chmod 444 直接让操作系统拒绝任何写入，Composer 尝试保存时立刻报错：file_put_contents(./composer.lock): failed to open stream: Permission denied。
这个操作不依赖 Composer 版本、不改配置、不装插件，纯靠文件系统拦截：
- Linux/macOS 下执行：
chmod 444 composer.lock（别用555，可执行权限无意义且可能在 CI 中触发异常） - Windows 下用：
attrib +R composer.lock - CI 脚本里建议加兜底：
chmod 444 composer.lock || true（防止文件不存在时脚本中断）
如何真正锁定某个核心包（如 topthink/framework 或 monolog/monolog）
靠 --ignore 或 --with-dependencies 参数临时跳过，只是表面功夫。一旦其他依赖要求更高版本，Composer 仍会因冲突失败或强行升级。唯一可靠的方式是切断它进入依赖解析的路径。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
推荐组合策略：
- 在
composer.json的require中写死精确版本，例如："topthink/framework": "6.1.5"（不带^、~或通配符） - 若该包是子依赖（没出现在你的
require里），必须加conflict字段，例如："conflict": { "topthink/framework": ">=6.2.0" } - 验证是否生效：
composer update topthink/framework应返回Nothing to install or update；同时检查composer.lock中对应包的version字段是否与composer.json完全一致
CI/CD 中防止 lock 变更和核心包漂移的关键动作
很多团队在 CI 构建后发现 composer.lock 被悄悄重写，或 vendor/ 行为不一致，根本原因不是 Composer 不稳定，而是流程失控。
必须强制落地的三件事：
- CI 脚本第一行校验：
git diff --quiet composer.lock || (echo "composer.lock changed! Commit it first."; exit 1) - 构建命令只允许用：
composer install --no-interaction --prefer-dist --optimize-autoloader，严禁出现--update、--ignore-platform-reqs等非常规参数 - 部署容器中可提前设
RUN chmod 444 /app/composer.lock，只要后续步骤不调用composer update，就绝对安全
最容易被忽略的点是：你以为删掉 composer.lock 后跑 install 是“重建”，其实它等价于一次不受控的 update——所有版本约束都会重新计算，哈希、dist URL、source reference 全部刷新，连 PHP 版本兼容性都可能被绕过。真正的锁定，从来不在文件权限或参数开关里，而在你每次提交前确认的那行精确版本号，和 Git 提交记录里那个不可篡改的 composer.lock 快照。
