只有"vendor/package": "1.2.3"这种无任何符号的纯数字字符串才算真正锁死；"^1.2.3"、"~1.2"等均为范围约束，会自动升级；改json后必须运行composer update指定包同步lock，否则install仍装旧版。
composer.json里怎么写才算真正锁死版本
只有"vendor/package": "1.2.3"这种无任何符号的纯数字字符串才算精确锁定。写成"^1.2.3"、"~1.2"、"1.2.*"甚至"1.2"都不行——这些全是范围约束，Composer 会按语义化规则自动升级。
常见错误：composer require guzzlehttp/guzzle:^7.5.0看似指定了 7.5.0，实际允许装到 7.9.9；要锁死，必须用composer require guzzlehttp/guzzle:7.5.0（冒号后不能有空格、不能加v前缀、不能用@或=）。
- 已存在包时，加
--no-update再手动composer update guzzlehttp/guzzle，避免全量重算 -
require-dev里的包（如phpunit/phpunit）同样要写死，否则composer update仍会升级它 - 分支写法如
"dev-main"不是锁定，每次update都可能拉新提交；真要固定，得用"dev-main#abc1234"
为什么改了composer.json还是装错版本
根本原因：你运行的是composer install，而它只认composer.lock里的记录，不看composer.json的新约束。改完composer.json后没更新lock文件，install 就永远装旧版。
典型现象："monolog/monolog": "2.9.1"写进composer.json，但composer.lock里仍是"2.8.0"，执行composer install后 vendor 里还是 2.8.0。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 必须运行
composer update monolog/monolog（指定包）或全量composer update来同步lock - CI 脚本里误写
composer update而非composer install，等于每次构建都重新解析依赖树，lock形同虚设 - 本地验证是否生效，直接跑
composer show monolog/monolog，输出的versions行才是真实安装版本
composer.lock被忽略或冲突时怎么救
composer.lock被.gitignore忽略，或 Git 合并留下标记，都会导致版本漂移——这不是配置问题，是契约失效。
手动编辑、删 lock 后跑composer install，等价于一次不受控的composer update，vendor 目录从此不可重现。
-
composer.lock必须进 Git，且不能出现在.gitignore里；历史漏提交可用git add -f composer.lock补 - 遇到 Git 冲突，先
git checkout --ours composer.json或手动整合，再删掉冲突的composer.lock - 唯一安全修复方式是
composer update --lock：它不读旧 lock，只按当前composer.json重算哈希与依赖树，生成全新合法文件 - 禁用
composer install --no-lock，这个参数会直接跳过 lock 校验，退化为 update 行为
部署时如何确认锁文件真实生效
文件存在不等于生效。composer.lock是否起作用，取决于它是否被composer install读取并严格执行，且内容未被平台差异或缓存干扰。
常见失效场景：PHP 版本不一致触发platform-check失败、镜像源缓存导致dist URL 变更、本地 ZIP 缓存未清理。
- 运行
composer show -s，顶部显示Lock file is up to date才说明 json 和 lock 同步 - 检查
composer.lock末尾的content-hash字段，它由composer.json的require、platform等字段生成，不匹配即过期 - 上线前可加
composer install --locked，它会校验 lock 中每个版本是否仍满足 json 约束，不满足直接报错退出 - CI 环境务必用
composer install --no-dev --no-interaction，绝不能用update
composer.json写死 + composer.lock提交 + 所有环境只跑install三者咬合。任何一环松动，比如 CI 脚本里顺手加了个update，或者有人把lock文件藏进了.gitignore，整个锁定机制就坍塌了。
