composer validate --lock 是唯一能直接检测 lock/json 同步性的官方命令，它通过比对 composer.lock 中的 content-hash 与当前 composer.json 关键字段（如 require、autoload 等）生成的哈希是否一致来判断同步性，不匹配则报“lock file is not up to date”。
composer validate --lock 是唯一能直接检测 lock/json 同步性的官方命令
它不比对文件内容，而是验证 composer.lock 中的 content-hash 字段是否由当前 composer.json 的关键字段（require、require-dev、autoload、platform 等）生成。匹配才说明 lock 是“最新产出”，否则报 The lock file is not up to date with the latest changes in composer.json。
常见误判场景：
- 运行前没删
vendor/——validate --lock会跳过部分校验，可能漏报 - 在子目录执行 —— 默认只找当前目录下的
composer.json和composer.lock，路径错就直接报No composer.json found - 手动改过
composer.lock—— 即使只动了一行空白，content-hash就失效，但错误提示仍和“json 被改”一样，需结合git diff判断真因
为什么不能用 diff -q 或 jq 比较两个文件内容
composer.lock 是结构化生成文件，含哈希、平台信息、依赖树拓扑，语义上不与 composer.json 对齐。改一行 "php": ">=8.2"，lock 文件可能重排整个 packages 数组，diff 必然报不同，但同步性未必破坏。
真正影响同步的是：content-hash 是否匹配、每个包的 dist.shasum 是否有效、packages 列表是否覆盖 json 中所有 require 声明。
所以：
-
diff -q composer.json composer.lock→ 完全无效，纯噪音 -
jq -S '.' composer.json | diff - composer.lock→ 依然无效，lock不是json的格式化副本 - 想看实际差异？用
composer show --installed --format=json对比composer.lock的packages字段，才接近真实状态
CI 中必须搭配 --strict 才能发现拼写错误导致的隐性不同步
composer validate --lock 本身不检查 composer.json 里字段拼写是否正确。比如把 "autoload" 写成 "autoloader"，默认模式下 validate 会静默忽略，content-hash 仍照常计算——结果 lock 看似“同步”，实则 autoload 规则根本没生效。
加 --strict 后，这类拼写错误会直接变错误，退出码为 1：
-
"type": "libary"→ 报Property type is not defined -
"minimum-stability": "dev-master"→ 报Invalid value for minimum-stability -
"require": {"monolog/monolog": "2.0"}（缺^）→ 默认警告，--strict变错误
CI 脚本推荐固定写法：composer validate --strict --lock --no-check-publish，跳过 Packagist 连网检查，避免网络抖动中断流程。
报 “lock file is not up to date” 时，别急着删 lock 或硬 update
这个错误只说明 hash 不一致，不说明谁错了。90% 场景是开发改了 composer.json 但忘了提交新 composer.lock，或 git merge 时漏掉了 lock 文件。
优先操作顺序：
- 先
git checkout -- composer.lock拉回最新 lock（尤其多人协作） - 再
composer validate --lock确认是否修复 - 如果仍报错，再
composer update --lock（仅重写 lock，不碰 vendor），而非composer update（会重装全部包） - 最后
git diff composer.lock看变更是否合理 —— 错误的 lock 提交比不提交更危险
真正难缠的是 content-hash 匹配但依赖不可解：比如 composer.json 写了 "php": ">=9.0"，本地 PHP 是 8.2，validate --lock 通过，install 却失败。这种必须靠 composer install --dry-run 暴露。
