composer install在大仓中会跨组件污染，因其无组件级作用域，仅按当前工作目录解析composer.json/lock，若未显式指定--working-dir或路径隔离，易误读根目录或其他组件配置，导致依赖混入、私有包解析失败或lock被错误覆盖。
大仓（monorepo）里多个 PHP 组件共存时，composer install 默认会把整个仓库当做一个项目来解析依赖，导致组件 A 的 composer.lock 被组件 B 的依赖干扰，锁定失效。这不是 Composer 不支持，而是默认行为没对齐大仓场景——必须显式隔离每个组件的依赖上下文。
为什么 composer install 在大仓里会跨组件污染
Composer 没有“组件级作用域”概念。它只认当前工作目录下的 composer.json 和 composer.lock，但不会主动拒绝上层或同级目录里的其他 composer.json。一旦你在根目录或某个子目录执行了 composer update，而该命令又没指定 --working-dir，它就可能读错路径、生成错 lock 文件，甚至把私有包的 require 写进不该写的地方。
- 常见错误现象：
Could not find package myorg/ui-kit，但明明packages/ui-kit/composer.json里写了"myorg/utils": "dev-main"—— 实际是根目录的composer.json没配repositories，或者composer install执行时 pwd 是./而不是./packages/ui-kit - 更隐蔽的问题：CI 中用
find . -name 'composer.json' -execdir composer install \;，看似按目录执行，但execdir在某些 shell 下不保证进入子目录后再执行，容易 fallback 到根目录上下文 -
composer.lock里出现本不该存在的包，比如组件 A 的 lock 文件里混进了组件 B 的 dev-only 包（因为require-dev被全局解析过）
如何为每个组件单独锁定依赖
核心原则：每个组件必须拥有独立、可验证的 composer.lock，且安装过程不能感知其他组件的存在。这靠三件事保障：路径隔离、仓库源显式声明、lock 文件校验。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 所有组件的
composer.json必须含完整repositories声明，哪怕只用 Packagist，也建议显式写{"type": "composer", "url": "https://packagist.org"}，避免继承根目录配置 - 安装命令必须带
--working-dir参数，例如：composer install --working-dir=packages/api-client --no-dev --no-interaction；绝对不要 cd 进去再 run，CI 脚本里尤其要防 shell 环境变量污染 - 每个组件的
composer.lock提交前，手动运行composer validate --strict，确认它只包含该组件composer.json中声明的require和其直接子依赖（不含require-dev的包） - CI 流水线第一步加检查：
test -f packages/auth/composer.lock && test -s packages/auth/composer.lock，空文件或缺失都 fail
私有包依赖在大仓中怎么不爆 Could not find package
大仓里组件间常通过 path 仓库引用本地包，比如 packages/core 被 packages/web require。这时报错不是因为包不存在，而是 Composer 解析时没找到对应仓库定义，或版本约束冲突。
- 确保每个引用私有包的组件，在自己
composer.json的repositories里声明了path类型源，例如：{"type": "path", "url": "../core"}；不能指望根目录的 repositories 自动透传 -
path源的url必须是相对路径，且以../开头（不能是packages/core），否则 Composer 会尝试从 Packagist 查找 - 如果组件 A require 组件 B 的
dev-main，而 B 的composer.json没设"minimum-stability": "dev"，就会失败——每个被引用的私有包都得自己控制稳定性策略 - 运行
composer depends myorg/core可查谁在依赖它；但要注意，这个命令只查当前上下文，所以必须在目标组件目录下执行
CI 中怎么防止 lock 文件被意外覆盖
大仓 CI 最怕的是某个组件的 composer update 把整个仓库的 lock 文件全刷掉。这不是权限问题，是命令没锁死作用域。
- 禁止任何脚本调用
composer update，除非明确加--working-dir+--dry-run先验证 - 部署阶段只允许
composer install，且必须带--no-dev --no-interaction --no-progress --working-dir=xxx四个参数，缺一不可 - Git hook 或 pre-commit 脚本里加检查：
git status --porcelain | grep '\.lock$' | grep -v 'packages/[^/]\+/composer\.lock'，匹配到非组件级 lock 变更就拒绝提交 - 生产机上删掉
composer.phar或设chmod -x，比靠文档约定更可靠
大仓的依赖锁定难点不在工具能力，而在上下文边界是否被严格执行。一个组件的 composer.lock 是否可信，取决于它生成时有没有被其他组件的配置、环境变量或当前路径悄悄影响——这点很容易被忽略，但只要漏一处，整条链就松动。
