应根据意图选择命令：仅同步元信息用composer update --lock，更新依赖用composer update，复现环境用composer install；镜像切换不影响composer.lock内容，其不一致本质是composer.json变更未同步。
composer install 报 “lock file is not up to date” 怎么办
这不是警告，是 Composer 明确拒绝执行——它发现 composer.json 里有变更（比如新增包、改了版本号、调整了 platform 配置），但 composer.lock 没同步更新。中文环境下尤其高频：同事提 PR 改了 composer.json，却漏提交 composer.lock；或你本地编辑时多敲了一个空行，content-hash 就失效了。
别删 composer.lock，也别跑 composer install --no-lock。先确认目标：
- 你只是拉了别人代码，想复现环境 → 直接
composer install（前提是远程已提交合法composer.lock） - 你自己改了
composer.json，且希望生效 → 必须composer update或composer update vendor/package - 你只调了格式（如加注释、开
"sort-packages": true），没动依赖 → 用composer update --lock，它只重写 lock 文件，不动vendor/
为什么 composer.json 写 "2.9.1" 还是装了 2.9.2
因为双引号里的 "2.9.1" 在旧版 Composer 中默认被解释为 ^2.9.1，允许补丁升级。真锁死必须满足三个条件：三位完整版本号、无任何前缀符号、无多余空格。
验证是否真锁死：
- 运行
composer show monolog/monolog，看versions行是否严格等于2.9.1（注意有没有v前缀、+git后缀） - 打开
composer.lock，搜索包名，确认存在"version": "2.9.1"字段，且"source": {"reference": "xxx"}是确定 commit hash，不是dev-main -
composer require monolog/monolog:2.9.1默认加^，得手动打开composer.json删掉那个插入符
Git 合并冲突时怎么安全处理 composer.lock
千万别手修：字段顺序、换行、逗号、缩进都参与校验，任意偏差都会让 composer install 报 file could not be parsed。中文团队协作中，80% 的“依赖不一致”源于手动合并 lock 文件后结构损坏。
正确做法：
- 先用
git checkout --theirs composer.json确保composer.json无冲突 - 删掉当前冲突的
composer.lock - 运行
composer update --lock，它会基于当前composer.json和已有vendor/（如有）生成新 lock - 如果
vendor/已清空（比如 rebase 中），改用composer install --no-interaction，前提是原composer.lock还能被解析
长期预防：在项目根目录加 .gitattributes，写入 composer.lock merge=ours，让 Git 自动以主干版本为准。
CI/CD 流程里 composer.lock 不一致怎么防
CI 报错本质是流程断了：开发没提交 lock，或 .gitignore 错误过滤了它，或 CI 脚本偷偷用了 composer update。一旦 lock 缺失，composer install 就退化为重新跑 SAT 求解器——哪怕 composer.json 完全一样，PHP 版本不同（比如你用 8.2，同事用 7.4）也可能装出不同版本的 psr/log。
强制对齐措施：
- 在
composer.json顶层加"config": {"lock": true}，这样只要两者不匹配，composer install立刻报错，例如The lock file does not contain the required package - CI 第一步必须检查：
ls -la composer.lock确认文件存在，再git log -1 --format=%H -- composer.lock确保它来自当前 commit - 禁用 vendor 缓存：GitHub Actions 中显式设
cache: false，否则可能读到上个分支缓存的过期composer.lock
最易被忽略的点：中文环境下，有人写 "monolog/monolog": "dev-main" 当成锁定，实际是放任漂移——每次 composer update 都可能拉最新 HEAD，而 main 分支的变更往往没人 review。
