必须用composer install而非update，因其严格按composer.lock中锁定的精确版本、哈希、路径和源地址还原，确保环境一致；update会忽略lock文件重解析依赖，导致版本漂移、ci失败或运行时错误。
只要 composer.lock 文件还在，直接运行 composer install 就能完整恢复 vendor 目录，不需要改命令、加参数或重装 PHP 扩展。
为什么必须用 composer install 而不是 composer update
composer.lock 里锁死了每个包的精确版本号、SHA256 哈希值、安装路径和源地址。composer install 只读这个文件，不查网络、不升级、不重新解析依赖；而 composer.update 会彻底忽略它，按 composer.json 里的 ^ 或 ~ 规则重新选版本——结果可能是 laravel/framework 从 v11.11.3 升到 v11.12.0，CI 流水线因 content-hash 不匹配直接失败。
- 现象：执行
composer update后vendor/laravel/framework版本变了，但项目没改任何代码 - 风险：子依赖漂移、PHP 扩展要求变更（比如突然需要
ext-intl）、autoload映射错乱导致Class not found - 中文 Windows 用户额外风险：镜像源配置过期（如还指向已停用的
phpcomposer.com），update卡在元数据请求阶段，看起来像“没反应”
composer install 失败的三大真实原因
不是命令写错了，而是环境状态不干净。尤其在中文 Windows 下，以下三点最常被跳过：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
vendor/没真正清空：资源管理器删到一半报“权限拒绝”，留下空目录或残留的vendor/autoload.php—— Composer 会误判为“已存在”，跳过完整安装，只做增量更新，缺失包不会补 - Composer 缓存损坏：
~/.composer/cache里存着解压失败的 zip 包，重装时反复失败，报错如Failed to extract vendor/monolog/monolog -
composer.lock被 Git 拉取时换行符污染（CRLF/LF 混用）或手动编辑过，composer install直接报lock file is not up to date
Windows 中文系统下安全恢复实操步骤
别用资源管理器删 vendor，也别在 Git Bash 里混用 rm -rf 和图形界面删除 —— 句柄残留和路径处理不一致极易导致后续失败。
- 先关掉所有 IDE（PHPStorm/VS Code）、终端中正在 watch
vendor的进程 - 以管理员身份打开 PowerShell，执行：
takeown /f vendor /r /d y && icacls vendor /grant %USERDOMAIN%\%USERNAME%:F /t /s /qcomposer clear-cache - 确认
composer.lock没被修改：git status composer.lock应显示 “nothing to commit”；若已修改，先git checkout HEAD -- composer.lock - 最后执行：
composer install（别加--no-dev，除非你明确不需要 dev 依赖）
恢复后怎么验证 vendor 真装好了
别只看命令输出有没有报错，要验证实际可用性：
- 检查
vendor/autoload.php是否存在且可被require - 运行
ls -l vendor/bin/phpunit（Linux/macOS）或dir vendor\bin\phpunit（Windows），确认脚本文件存在；如果权限不对，Linux/macOS 下补一句chmod +x vendor/bin/* 2>/dev/null || true - 执行
php artisan list（Laravel）或vendor/bin/phpunit --version，能正常输出才算真成功
最容易被忽略的是：vendor/ 必须在项目根目录（即含 composer.json 的那层），否则 require 'vendor/autoload.php' 会找不到文件——很多人在子目录里执行了命令，结果 vendor 出现在 public/vendor/ 这种地方。
