composer.lock 必须提交到 git 仓库以确保依赖版本一致，避免因框架小版本差异导致中间件、事件等行为不一致；thinkphp 主版本应显式固定为 "6.3." 等形式，禁用 "^" 和 ""；扩展包需严格对齐主项目框架版本，并通过 --with-all-dependencies 升级生态组件。
Composer.lock 文件必须提交到 Git 仓库
不提交 composer.lock，团队成员执行 composer install 时会拉取不同版本的依赖，哪怕 composer.json 里写了 "topthink/framework": "^6.0"，也可能有人装上 6.3.5、有人是 6.2.12——ThinkPHP 内部行为差异（比如中间件执行顺序、模型事件触发时机）可能直接导致本地能跑、测试环境报错。
-
composer.lock是“确定性安装”的唯一依据，它记录了每个包的精确版本、哈希值、依赖树快照 - CI/CD 流水线也必须基于
composer.lock运行composer install，而非composer update - 如果误删或未提交，用
git checkout origin/main -- composer.lock恢复比重新生成更安全
ThinkPHP 主版本号需在 composer.json 中显式固定小版本范围
写成 "topthink/framework": "6.3.*" 比 "^6.3" 更可控——后者允许升级到 6.4.0，而 ThinkPHP 6.4 对 PHP 8.1+ 有强依赖，且路由解析逻辑有调整；若团队还混用 PHP 7.4，就会在 composer update 后突然无法启动。
- 生产项目推荐锁定到
X.Y.*形式，例如"6.3.*"，既接受安全补丁，又规避主功能变更 - 绝对避免
"*"或"dev-master"，它们会让 Composer 自由选择最新提交，完全不可控 - 升级主版本（如从 6.3 → 6.4）必须人工评审变更日志，并同步更新 PHP 版本要求和 CI 镜像
自定义扩展包的版本策略要和框架对齐
很多团队会封装自己的 tp-common 或 tp-auth 包，但如果它的 composer.json 里写的是 "topthink/framework": "^6.0"，而主项目锁在 6.3.8，Composer 可能因依赖冲突拒绝安装，或退而求其次选一个旧版扩展包——结果是权限校验逻辑用的是 6.0 的钩子机制，但框架实际运行在 6.3 的事件系统上，中间件跳过、钩子不触发。
- 内部扩展包的
require应与主项目一致，例如也写"topthink/framework": "6.3.*" - 发布新版本扩展包前，必须在主项目中用
composer require vendor/package:dev-develop --with-all-dependencies验证兼容性 - 扩展包的
composer.json中不要设宽松约束，尤其不能用^向上兼容主框架大版本
composer update 必须带 --with-all-dependencies 且只在明确场景下执行
直接敲 composer update topthink/framework 很危险：它只更新框架本身，但可能留下旧版 topthink/think-orm 或 topthink/think-view，这些组件间有隐式契约（比如 ORM 返回的 Collection 实例方法在 View 层被调用），版本错配会导致 Call to undefined method think\Collection::each() 这类运行时错误。
- 升级框架必须连带升级其生态组件：
composer update topthink/framework topthink/think-orm topthink/think-view --with-all-dependencies - 日常开发禁止随意执行
composer update，应优先用composer install保证环境一致 - CI 流水线中若需更新依赖，应在独立分支完成，并强制检查
composer.lock是否有变更、变更是否仅限预期包
最常被忽略的是：ThinkPHP 的 vendor/topthink/thinkphp/base.php 里有一段版本检测逻辑，它会读取 think_version 常量并和 composer.lock 中记录的实际版本比对——如果手动改过 vendor 里的文件、或用脚本覆盖过框架源码，这个校验会静默失败，导致某些命令行工具（如 php think make:controller）行为异常，但错误不报在表面。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
