必须提交 composer.lock 且只运行 composer install，它是记录精确版本、sha256校验值和完整依赖树的部署契约；缺失则 install 退化为不可控 update，导致环境不一致、ci失败、类找不到等问题。
必须提交 composer.lock，且所有人只运行 composer install——这是唯一能保证依赖完全一致的硬性前提。其他任何变通（比如“大家都记得 run update”或“CI 里自动 update”）都会在两周内出问题。
为什么删掉或不提交 composer.lock 就一定会翻车
因为 composer.lock 不是缓存，而是完整依赖图的快照：它记录了每个包的确切版本、下载 URL、SHA256 校验值、依赖树结构，甚至子依赖的嵌套路径。一旦缺失，composer install 会退化为按 composer.json 重新走 SAT 求解器解析——而 packagist 上的最新版每天都在变。
- 你本地装的是
monolog/monolog2.9.1，同事装出来可能是 2.10.0（API 已微调） - CI 构建时拉到
guzzlehttp/guzzle7.8.1，但你本地是 7.7.0，mock 行为不一致导致测试偶发失败 -
git clone后直接composer install报错Your requirements could not be resolved...，实际就是 lock 文件没进 Git
怎样验证 composer.lock 是否真正生效
光提交还不够，得确认它被 Composer 正确加载和校验。最直接的方式是启用强制锁校验：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 在
composer.json的config字段中加入"lock": true - 该配置要求
composer.json和composer.lock的哈希必须匹配，否则composer install直接报错退出 - 典型错误：
The lock file does not contain the required package "xxx"，说明有人改了composer.json却忘了composer update - 注意：此配置仅对
install生效，不影响update；需 Composer 2.2+ 且 PHP 7.4+
团队协作中最容易被忽略的三个破坏点
很多问题不是锁文件本身失效，而是环境或流程绕过了它的约束：
-
PHP版本不统一：你用 8.2，同事用 7.4，composer.lock里platform字段会触发不同分支解析（如symfony/polyfill选不同子集），结果 vendor 结构不一致 -
composer --version不统一：Composer 1.x 和 2.x 生成的 lock 文件格式不同，混用会导致install失败或静默降级 - CI 脚本写的是
composer update --no-interaction：等于主动放弃版本锁定，每次构建都可能拉新包，构建不可重现
真正难的不是生成 lock 文件，而是让所有人理解：它不是“生成物”，是和 composer.json 平级的源码。改它，要像改数据库 schema 一样走评审、测试、合入流程。漏一次提交，或某人手抖执行了 composer update，后面花半天排查环境差异的时间，远超三分钟检查 git ls-files | grep composer.lock。
