composer install 必须有 composer.lock，否则会隐式执行不受控的 composer update，重新解析依赖导致版本不一致、ci失败、运行时错误等；composer.lock 由 composer 自动生成，应用项目必须提交至 git，丢失后应从 git 历史恢复而非重生成。
composer install 为什么必须有 composer.lock
没有 composer.lock，composer install 就不是“安装”，而是隐式执行一次不受控的 composer update。它会从头解析 composer.json 里的所有版本约束（比如 ^2.0），重新计算最新兼容组合——这个结果没人验证过，也不受你控制。
常见错误现象：
- CI 构建失败，报
Class not found或TypeError - 本地
vendor和服务器上内容不一致，但composer.json没改 - 某次部署后日志突然不写、HTTP 客户端报 DNS 错误，回溯发现是
guzzlehttp/guzzle降级到了带已知 bug 的 7.2.0
根本原因：缺少 composer.lock → Composer 放弃“按图索骥”，转而“现场算最优解”，而这个解很可能偏离你测试过的路径。
composer.lock 是怎么生成和更新的
composer.lock 不是手动写的，它由 Composer 自动生成并维护，核心触发动作只有两个：
-
composer install：有composer.lock→ 严格按它装；没它 → 先按composer.json解出一套版本，生成新composer.lock，再装 -
composer update：不管有没有composer.lock，都会重新解析依赖树，覆盖写入新composer.lock
注意：composer require xxx 等价于先改 composer.json，再执行 composer update xxx，所以也会更新 composer.lock。
关键字段含义：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
packages：生产依赖的精确版本、源类型（git tag / zip）、SHA256 哈希值（防篡改） -
packages-dev：开发依赖，只在--dev模式下生效 -
content-hash：基于composer.json内容生成，一旦你改了require字段，这个值就变，Composer 会拒绝用旧 lock 文件安装
哪些项目该提交 composer.lock 到 Git
不是“建议”，而是分场景强制：
- 应用型项目（Laravel/Symfony/WordPress 插件等）：必须提交
composer.lock，否则团队协作和 CI/CD 失去可重现性 - 库项目（你写的 SDK、组件包，供别人
require）：不能提交composer.lock，因为它的依赖应由下游项目决定
Git 提交记录里如果出现 composer.lock 被删又重建，基本等于告诉所有人：“这次发布我们放弃了版本控制”。修复方式不是重跑 composer install，而是从最近一次有效 commit 恢复该文件。
删了 composer.lock 之后还能救回来吗
能，但不是靠命令自动恢复。删掉它 ≠ 重装一遍，而是主动交出对依赖树的控制权。
典型后果包括：
-
monolog/monolog从 2.10.2 升到 3.0.0，导致HandlerInterface方法签名变更，代码直接挂 - 安全扫描工具失效，因为基线比对依赖
composer.lock的哈希，没了它就无法确认是否引入已知漏洞版本 - PHP 版本升级后某些包被跳过，反而拉了更旧但“兼容”的带漏洞版本
真正可靠的恢复方式只有一种：从 Git 历史中 checkout 上一个有效的 composer.lock，然后运行 composer install。别指望 composer update --lock 或类似命令——Composer 没这个功能。
