唯一可靠变更来源是 git diff composer.lock，因 composer 本身不记录 update 日志；需确保 lock 文件被 git 跟踪并提交，推荐用 composer-lock-diff 工具精准分类增/降/升级，ci 中宜用 jq 提取 name@version 进行结构化比对。
composer update 本身不生成改动日志，可靠来源只有 git diff composer.lock
Composer 没有内置机制记录每次 composer update 的精确变更内容。终端输出（哪怕加 -vvv）只展示包名和版本升降，不体现间接依赖变动、哈希变更或 require 列表调整。真正可追溯、可归因、可审计的唯一事实源是 composer.lock 文件本身——只要它被 Git 跟踪且每次更新后都提交。
常见错误现象：git diff 没输出、输出为空、或只看到 content-hash 变动——大概率是 composer.lock 未纳入 Git，或上次更新后没 git add + git commit。
- 执行前先确认：
git status应显示composer.lock为 modified 或 untracked - 更新后立即运行：
git diff --no-prefix composer.lock，聚焦看"version"、"source": {"reference"、"require"字段变化 - 忽略
content-hash和packages-dev中无关字段的抖动，它们不反映业务依赖变更
用 composer-lock-diff 替代手动 grep，精准分类新增/降级/升级
原生 git diff 输出冗长，含大量 JSON 元数据干扰。直接 grep 易漏掉 packages-dev 或分支引用变更。composer-lock-diff 是专为此设计的轻量 CLI 工具，自动过滤噪音、归类变更类型，并支持指定对比基线。
安装与使用：
- 全局安装：
composer global require bitexpert/composer-lock-diff - 确保
~/.composer/vendor/bin（Linux/macOS）或%USERPROFILE%\AppData\Roaming\Composer\vendor\bin（Windows）在$PATH中 - 对比上一次提交：
composer-lock-diff --from=HEAD~1 - 对比两个具体 lock 文件：
composer-lock-diff --from=old.lock --to=new.lock
输出示例中会明确标出：UPGRADED: monolog/monolog (2.8.0 → 2.9.0)、DOWNGRADED: guzzlehttp/guzzle (7.8.1 → 7.7.0)、ADDED: phpunit/phpunit (10.5.0)。
CI 中生成结构化变更摘要：用 jq 提取 name@version 对比
在 CI 流水线里，文本 diff 不利于后续解析或告警。更稳妥的做法是将 composer.lock 解析为扁平化的 name@version 列表，再用标准工具比对差异。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
关键步骤（Shell 脚本片段）：
- 提取当前 lock：
jq -r '.packages[] | "\(.name)@\(.version)"' composer.lock | sort > lock-now.txt - 检出上一版 lock：
git checkout HEAD~1 -- composer.lock - 提取历史 lock：
jq -r '.packages[] | "\(.name)@\(.version)"' composer.lock | sort > lock-prev.txt - 获取净变更：
diff lock-prev.txt lock-now.txt | grep "^>" | sed "s/^> //"
注意：packages-dev 需单独处理，因为测试依赖升级（如 phpunit/phpunit）可能引发构建失败，但不会出现在 packages 中。
别信插件输出的“变更日志”，它只是增量摘要，不是真实变更依据
像 pyrech/composer-changelogs 这类插件，只在 composer update 后拦截输出，生成带 GitHub release 链接的摘要。它不读 composer.lock，也不校验实际安装状态，仅基于 Composer 解析结果做推断。
容易踩的坑：
- 插件输出
monolog/monolog v2.9.0 → v3.0.0，但实际composer.lock里仍是v2.9.0？说明更新失败或被约束拦截，插件没感知 - 链接指向
https://github.com/.../releases/tag/v3.0.0，但该 tag 下 changelog 可能为空，或根本没写 breaking change - 插件默认不包含间接依赖，加
--with-dependencies后输出爆炸式增长，难以人工复核
真正难的不是生成文本，而是确认「这个版本号是否真的被加载进 vendor」以及「它对应的 commit 是否稳定」——这只能靠 composer.lock + Git 历史 + 人工抽检 CHANGELOG.md 三者交叉验证。
