composer 没有自动更新机制，所谓“自动”实为误操作或配置不当所致；需通过禁用 self-update、锁定版本约束、强制 --locked 安装及校验 composer.lock 等策略防止意外升级。
Composer 本身没有自动更新机制，所谓“自动更新”全是误操作或配置误解导致的——你不需要关一个不存在的功能，而是得拦住人手抖、CI 脚本乱写、版本约束太松这三类真实问题。
composer self-update 不是后台自启，只是个手动命令
每次你看到 composer self-update 执行了，一定是有人（或脚本）主动敲了它。Composer 不会自己联网拉新版、不建定时任务、不静默覆盖二进制。所以不存在“关闭自动更新”的开关，只存在“防止误执行”的策略：
- CI/CD 流水线里彻底删掉
composer self-update，改用预装固定版本的镜像（如composer:2.7.7） - 本地 shell 配置别名拦截：
alias composer='composer --no-plugins'（虽不能拦 self-update，但能禁掉可能篡改行为的插件） - 检查当前是否为稳定发布版：
composer --version输出不应含-snapshot或+git
为什么 composer update 总在升包？不是自动，是约束太松
你以为它“偷偷升级”，其实是 composer.json 里写了 "laravel/framework": "^10.0" 这种浮动约束。Composer 只是忠实地按规则重算依赖图——它没脑子，也不越权。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 想锁死某个包：把版本改成无符号精确值，例如
"monolog/monolog": "2.9.1" - 改完必须立刻跑
composer update monolog/monolog，否则composer.lock里还是旧解析结果 - 务必提交
composer.lock到 Git；否则别人composer install时会重新按composer.json解析，锁就白设了
生产环境唯一可靠的“禁用更新”方式是 --locked
composer install --locked 不是优化选项，是强制校验开关：它要求 composer.lock 必须存在、非空、JSON 合法，且所有包版本都满足 composer.json 的约束。不满足就直接失败，绝不 fallback、不重建、不提示。
- CI 构建前加校验：
git diff --quiet composer.lock || exit 1，防止 lock 被悄悄改写 - Dockerfile 中确保
COPY composer.lock .在COPY composer.json .之后，且都在composer install前 - 上线命令必须带
--no-dev --no-interaction，--locked是底线，不是可选
别碰 config.platform 或 conflict 来“忽略更新”
用 "config": {"platform": {"some/package": "1.2.3"}} 是在欺骗 Composer，让它以为包已存在。这会导致依赖图计算跳过该包的真实依赖关系，极易引发运行时缺失类、方法找不到等隐性错误。
- 真正想跳过某包更新，只用白名单式更新：
composer update "vendor/a" "vendor/b"，漏掉的自然不动 -
conflict字段适合声明不兼容版本（如"vendor/package": ">=2.0"），但它是报错拦截，不是静默忽略 - 手动改
composer.lock是临时调试手段，下次update仍会被覆盖，不可维护
最常被忽略的一点：锁定依赖不是写对一行 JSON 就完事，而是整条协作链路（本地开发 → PR → CI → 部署）都默认信任 composer.lock、避开 update、拒绝任何绕过校验的操作。一旦某个环节松动，锁就形同虚设。
