因为composer不解析.env文件，它没有内置dotenv加载机制；仅识别composer_开头的专用变量（如composer_home），其他变量需手动导出或使用composer_script_前缀透传。
为什么 composer install 不读取 .env 里的环境变量？
因为 Composer 本身不解析 .env 文件——它压根不加载 Laravel 或 Symfony 的环境抽象层。你写的 APP_ENV=local 对 composer.json 里的 require 字段毫无影响。依赖声明是静态的，不是运行时逻辑。
想靠环境变量“动态切换包版本”，必须绕过 Composer 原生机制，用外部控制流干预安装过程：
- 不能在
composer.json中写"monolog/monolog": "${MONOLOG_VERSION}"—— 这会直接报错Invalid version string -
COMPOSER_ROOT_VERSION等内置变量只影响 root package 版本号，不改变依赖列表 - 真正可行的是：预生成多个
composer.json变体，或用脚本重写require后再执行composer install
用 composer config + platform 实现“伪降级”
某些场景下，你并不真需要删掉包，而是让 Composer “假装” PHP 或扩展版本更低，从而自动选装兼容的老版本（比如 PHP 8.2 下强制装 guzzlehttp/guzzle:^7 而非 ^8）。
做法是利用 platform 配置伪造运行环境：
composer config platform.php 7.4.33 composer config platform.ext-mbstring 0 composer install
这会让 Composer 在依赖解析时认为当前环境是 PHP 7.4，从而避开要求 PHP 8+ 的新包版本。注意：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 修改的是
composer.lock生成逻辑，不是运行时行为 - 必须配合
--ignore-platform-reqs才能跳过本地环境校验，但会失去安全性提示 -
platform不支持动态变量注入，需在 CI 脚本中根据$ENV判断后写入
基于 COMPOSER_REQUIRE 的轻量级动态 require 注入
Composer 从 2.2 开始支持 COMPOSER_REQUIRE 环境变量，可临时追加依赖（仅限 require，不支持 require-dev）：
COMPOSER_REQUIRE="monolog/monolog:^2.0" composer install
它等价于在 composer.json 中临时加上该条目，且优先级高于原文件。适合灰度降级场景，例如：
- 生产环境跑
laravel/framework:^9.0，但某次发布需回退到 ^8.75，只需设置COMPOSER_REQUIRE="laravel/framework:8.75.*" - 变量值必须是合法的包名+版本约束，空格、引号、特殊字符会触发解析失败
- 不能覆盖已有依赖的版本（如原已声明
"laravel/framework": "^9.0"，COMPOSER_REQUIRE不会替换，而是合并——导致冲突报错）
CI 中用 shell 脚本做 composer.json 补丁切换
最可靠的方式仍是手动 patch：读取 .env 或 CI 变量，用 jq 或 sed 修改 composer.json 再安装。例如：
if [ "$ENVIRONMENT" = "staging" ]; then jq '(.require."guzzlehttp/guzzle") = "7.4.*"' composer.json > tmp.json && mv tmp.json composer.json fi composer install --no-interaction
关键细节：
- 务必先
git checkout -- composer.json清理上一次 patch，否则残留修改会导致锁文件漂移 - 用
jq比sed更安全，避免正则误匹配注释或字符串中的版本号 - 降级后要验证
composer show guzzlehttp/guzzle输出是否符合预期，有些包在旧版本里移除了关键类，运行时才暴露
环境变量驱动的依赖切换本质上是破坏了 Composer 的确定性模型，每次变更都得重新生成 composer.lock 并提交——这点很容易被忽略，尤其在团队协作中。
