删 composer.lock 后应运行 composer update 而非 install，因 install 依赖 lock 文件存在；update 才会按 composer.json 重算依赖并生成新 lock；--no-lock 不跳过 lock 逻辑，仅跳过校验与写入。
删 composer.lock 后跑 composer install 会直接报错
这不是“强制安装”，而是命令用错了。composer install 的设计前提是 composer.lock 必须存在——它不负责解析版本，只负责按锁文件还原。删掉锁文件后还执行 composer install，终端会立刻报 Lock file does not exist. Run composer update to create it. 或更具体的缺失包错误。
真正触发“按 composer.json 重算依赖”的命令是 composer update，不是 install。想装最新版，必须走这一步：
- 删掉
composer.lock - 运行
composer update（不带参数）
它会读取 composer.json 中所有 require 和 require-dev 约束，调用 SAT 求解器重新计算整个依赖树，并生成新的 composer.lock。
–no-lock 不等于跳过 lock 文件逻辑
composer install --no-lock 常被误认为“忽略 lock”，但它只是跳过校验和写入，**并不阻止读取已存在的 lock 文件**。如果 composer.lock 还在目录里，它照样照着装——你看到的“最新版”其实是 lock 里早就记好的旧版本。
这个参数的真实用途很窄：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- CI/CD 中 lock 文件未提交或临时损坏，需要快速恢复可运行环境
- 本地开发时 lock 被误删，又不想立刻重算全部依赖（比如网络差、依赖树深）
它不会生成新 lock，也不会升级任何包，更不会让 composer.json 的修改生效。把它当“强制更新”用，结果只会是幻觉。
删 lock + update 的副作用远比想象中大
你以为只是“装个新版本”，但实际发生的是：Composer 把整棵依赖树推倒重来。以下风险极易被忽略：
- 多个包同时满足
"^3.0"约束时，它可能选3.9.1而不是你预期的3.5.0，而3.9.1可能悄悄废弃了一个方法 - 某个间接依赖（比如
psr/log）被连带升级到新 major 版，导致你没改代码却触发Class not found - 私有仓库配置（
repositories）若没同步更新，composer update可能 fallback 到 Packagist，拉下公开版而非你定制的分支
最危险的是：这些 break change 不会在 composer update 过程中报错，而是在运行时才爆发。尤其当项目没覆盖测试时，上线后才发现日志打不进、队列卡死。
真要“强制”装某个分支，写法和配置缺一不可
比如想装 vendor/name:dev-main，光加 --force-reinstall 或 --ignore-platform-reqs 完全无效。关键点就三个：
- 分支名必须带
dev-前缀，且大小写、拼写和远程仓库完全一致（GitHub 上叫main，就不能写Dev-Main或master） - 根
composer.json必须显式声明"minimum-stability": "dev"，否则dev-main直接被过滤掉 - 如果是私有仓库，
repositories里得有对应{"type": "vcs", "url": "https://github.com/vendor/name"}
漏掉任意一项，报错都是 Conclusion: don't install vendor/name dev-main —— 这不是网络问题，是 Composer 在告诉你：“我根本没找到这个版本源”。
