真正精确锁定必须在composer.json中写无修饰符的三位版本号如"monolog/monolog": "2.11.0"或等价的"=2.11.0"，禁用^、~、*等范围符号；改后须立即运行composer update monolog/monolog更新lock文件，且确保lock已提交、部署时执行带完整参数的composer install。
必须在 composer.json 里写死三位版本号（如 "monolog/monolog": "2.11.0"），同时确保 composer.lock 已提交、部署时运行 composer install，三者缺一不可——否则所谓“锁定”只是幻觉。
怎么写才算真正精确锁定？
Composer 不认 ^、~、* 或空格后缀，只认无修饰的纯数字字符串或等号前缀。
-
"monolog/monolog": "2.11.0"→ 正确，强制安装且禁止任何升级 -
"monolog/monolog": "=2.11.0"→ 等价，语义更明确，update 时也跳过 -
"monolog/monolog": "2.11.*"→ 错误，等价于~2.11.0，允许装2.11.9 -
"monolog/monolog": "^2.11"→ 错误，主版本不变前提下可升到2.99.9
写完必须立刻执行 composer update monolog/monolog（不是全量 update），否则 composer.lock 不会更新，等于白改。
为什么 composer.lock 提交了还是没锁住？
常见现象是部署后报 Class not found，但日志里没报错——说明实际装的不是你想要的版本。
-
ls -l composer.lock输出为空或被.gitignore忽略 →install自动 fallback 到update - CI 脚本中出现
Resolving dependencies...日志 → 它根本没读 lock 文件，正在重算依赖树 -
git status显示composer.lock已修改但未git add→ 团队成员拉代码后跑install，各自解析出不同版本
检查是否真锁死：打开 composer.lock，搜索包名，确认 "version" 字段是完整三位字符串（如 "2.11.0"），且 "source": {"reference": "..."} 是确定的 commit hash。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
生产部署命令不能省参数
用 composer install 不代表就安全——漏掉关键参数会导致行为偏移或副作用。
-
--no-dev→ 防止装phpunit、phpstan等开发依赖，避免污染生产环境 -
--no-scripts→ 阻止 ThinkPHP 的post-install-cmd清空runtime/，或 Laravel 的缓存重建干扰上线节奏 -
--optimize-autoloader→ 生成类映射表，减少file_exists()调用，对 APCu/XCache 友好 -
--no-autoloader→ 后续手动执行composer dump-autoload -o控制时机，避免 install 过程中 autoload 写失败导致半截状态
别信 composer install --no-interaction 就够了——没加 --no-scripts，某些框架的 post-install 仍会静默执行并破坏运行时目录。
PHP 版本变动会让 lock 文件失效
Composer 2.0+ 默认校验 platform 字段，不是“能跑就行”，而是“字节级一致”。
- 本地 PHP 是 8.2，
composer.lock里记录的是基于 8.1 解析出的依赖，部署到 8.2 服务器可能因子依赖的php约束不匹配而失败 -
composer show vendor/package能列出所有可用 tag，但composer require vendor/package:2.11.0失败，往往是因为该 tag 的composer.json声明了"php": ">=7.4, - CI 构建前建议加
composer config platform.php 8.2.5（按目标环境设），再跑install，避免平台差异穿透到 lock 文件
最易被忽略的一点：lock 文件里记录的不只是版本号，还有每个包的 ZIP URL 和 SHA256 校验值——一旦镜像源配置错误或网络劫持，哪怕版本对，解压出来的代码也可能被篡改。
