hash校验composer.lock文件整体内容是否被篡改；content-hash校验composer.json中require、require-dev、platform等字段是否变更，若不一致则提示lock未更新。
composer.lock 里的 hash 和 content-hash 到底校验什么
它不校验你下载的 zip 包解压后是否和源码一致——那是 dist.sha256 干的事；它也不校验你本地改没改 composer.json——那是 content-hash 的职责。hash 字段是整个 composer.lock 文件内容的 SHA256，用于快速判断锁文件是否被意外篡改；content-hash 是对 composer.json 中 require、require-dev、platform 等关键字段做序列化哈希，一旦 composer.json 变了但没更新 lock，composer install --dry-run 就会报 Lock file is not up to date。
为什么多节点部署时 vendor/ 内容可能不一致
根本原因不是网络或镜像源抖动，而是 composer install 在多个节点上并发执行时，没人管“别人是不是正往 vendor/ 里写”。常见现象包括：
-
The lock file does not contain the required package "xxx"：不是 lock 缺包，是某个进程在读完 lock 后、写入前被 kill，导致部分包漏装 -
Package xxx has a mismatched hash：某节点下载了带 CDN 缓存污染的 dist 包，dist.sha256校验失败，但另一节点成功通过 -
Class not found在部分节点出现：因为packages-dev区块被某些节点加载（比如没加--no-dev），而自动加载器生成逻辑受其影响
解决办法不是换镜像源，而是用 flock 串行化安装过程：flock .composer-lock.lock -c 'composer install --no-dev --no-interaction'，并确保所有节点共享同一份未被编辑过的 composer.lock。
dist.sha256 是怎么防止“同名不同包”的
Composer 不只靠包名和版本号定位依赖，每个 dist 条目都带 sha256 值，对应压缩包原始二进制内容。这意味着：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 即使 packagist.org 被投毒，只要
dist.sha256不匹配，安装就会中断 - 国内镜像若缓存了旧版包但没同步哈希值，
composer install会直接拒绝该 dist 源，回退到source（git clone）方式 - 手动替换
vendor/下某个包目录？不行——下次composer install会按installed.json里的dist.sha256重新校验并覆盖
这个机制在 Serverless 场景尤其关键：Lambda 每次冷启动都从干净环境重建 vendor/，dist.sha256 是唯一能保证“相同 lock → 相同字节内容”的锚点。
别信“lock 文件只是缓存”，它是一份可执行契约
很多人删掉 composer.lock 后跑 composer install，以为只是重装一遍——其实等于让 Composer 重新抽一次签，结果完全不可控。典型后果包括：
-
monolog/monolog从2.10.2升到3.0.0，LoggerInterface::log()参数签名变更，运行时报Too few arguments -
guzzlehttp/guzzle因新版本要求 PHP 8.3，被跳过，降级到7.2.0，触发已知 DNS 缓存 bug -
composer audit扫描失效：基线丢失，CVE 告警变成盲区
真正要改依赖，必须走 composer require xxx → composer update --lock → 提交 composer.lock 全流程。任何绕过这三步的操作，都在给线上埋雷。
