composer install 和 update 的本质区别是“照单发货”与“重新算账”：install 严格按 composer.lock 的版本、哈希、url 安装，不联网、不求解；update 则忽略 lock，重跑 sat 求解器，联网计算满足 composer.json 约束的最新兼容组合并更新 lock。
composer install 和 update 到底在干啥
不是“装包”和“升级包”的区别，而是“照单发货”和“重新算账”的差别。
composer install 只看 composer.lock 文件，一行行照着它写的版本、哈希、下载地址往下装，不查网络、不比版本、不跑求解器。哪怕你本地 PHP 是 8.2，lock 里记的是 "php": "^7.4"，它也会拒绝装——因为这不是下载问题，是数学上不兼容。
composer update 完全不管 lock 文件，把 composer.json 里所有 require 和 require-dev 拿出来，联网查 Packagist 最新元数据，用 SAT 求解器暴力试出一组能共存的版本组合，再把结果写进新的 lock 文件。
- CI/CD、Docker 构建、新同事拉代码后第一件事：必须用
composer install - 改了
composer.json（增删包、调版本号）之后才该composer update，且立刻git add composer.lock - 删掉
composer.lock后再跑install，等价于自动触发一次update，不是“重装”，是“重算”
为什么总卡在 “Resolving dependencies” 或报 “could not be resolved”
这不是网速慢，也不是服务器抽风，是 Composer 的 SAT 求解器已经穷尽所有可能，证明当前约束下无解。
常见真实原因：
-
minimum-stability设成dev，让求解器主动纳入大量未测试版本，搜索空间爆炸 - 两个间接依赖分别 require
guzzlehttp/guzzle:^7.0和^8.0，但你又锁死了某个核心包的旧版，导致无交集 - PHP 版本不匹配：
composer.lock顶部platform字段写着"php": "7.4.33"，而你本地是 8.2 —— 求解器直接判为不可行 - 开了 xdebug：会让求解慢 5–10 倍，关掉再试
临时绕过 PHP 版本校验可用 composer install --ignore-platform-req=php，但别提交，更稳的做法是在 composer.json 的 config.platform.php 里显式声明团队统一小版本。
镜像源配了为啥还是连 packagist.org
composer config -g repos.packagist 只改“查包信息”这一步的源头，不影响已存在的 composer.lock 里的下载地址。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
所以配完镜像，必须做三件事才能真正生效：
- 运行
composer clear-cache清掉旧缓存（尤其之前用过失效源如 phpcomposer.com） - 删掉项目根目录下的
composer.lock - 删掉
vendor/目录
再跑 composer install -vvv，盯着日志里是否出现 mirrors.aliyun.com 或你配置的镜像域名。如果还看到 packagist.org，说明项目级配置覆盖了全局配置——进项目目录再跑一遍不带 -g 的 composer config repos.packagist ...。
注意：镜像对私有 VCS 仓库（GitHub/GitLab 地址）、"type": "package" 或 "type": "vcs" 的依赖完全无效，这些走的是直连。
replace 字段不是卸载，是“假装已满足”
"replace": { "old/package": "*" } 这行配置不会删掉 old/package，也不会阻止它被其他包带进来；它只是告诉求解器：“当别人 require old/package 时，你可以当作已满足，不用再装。”
但它不解决运行时冲突：
- 如果你 fork 了
old/package改名发布为your-vendor/new-package，必须确保它的autoload规则覆盖原包命名空间，否则class not found照样发生 -
replace对conflict字段无效：原包声明"conflict": { "php": ">=8.0" }，你的替换包得自己写兼容声明 - 它不清理
vendor/目录，也不影响已安装的文件——要真删，得手动composer remove old/package
真正需要替换时，优先考虑 provide + conflict 组合，比单纯 replace 更可控；而日常开发中，90% 的“想换包”其实该走 require 显式声明新包 + conflict 排除旧包。
