composer install 不升级依赖，仅按 composer.lock 安装；所谓“安全更新”实为替换 lock 文件后重执行 install。它无 --update 选项，且不解析 composer.json 或重算依赖树，生产环境应严格使用 install 而非 update。
composer install 本身不升级依赖，它只照着 composer.lock 装包；所谓“安全更新”，本质是换 lock 文件 + 重跑 install。
为什么不能对生产环境执行 composer install --update
根本不存在 composer install --update 这个命令——它会直接报错 Unrecognized option "--update"。有人误以为加个 flag 就能“边装边升”，其实是混淆了 install 和 update 的职责边界。
install 的唯一合法输入是 composer.lock；它不解析 composer.json 的版本约束，也不重算依赖树。一旦你试图让它“升级”，说明你真正该做的是：先在开发环境跑 composer update vendor/package-name，生成新 composer.lock，再把这份 lock 文件带进生产环境。
- CI/CD 流水线里若写成
composer install && composer update，等于主动放弃锁定，构建不可重现 - 本地改完
composer.json后只跑install，不会生效——因为composer.lock没变，Composer 完全无视你的修改 - 线上机器执行
composer install报错Package foo/bar requires php ^8.2, but your PHP version is 8.1.9？说明 lock 文件里锁的是 PHP 8.2 兼容版，但运行时 PHP 版本没同步升级
生产环境用 install 实现“最小范围更新”的实操条件
想只升 monolog/monolog 到 3.5.0，又不让 symfony/console 或 psr/log 跟着乱动？靠 install 做不到，但可以借它的机制实现：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 在开发机上执行
composer update monolog/monolog（确认它没被其他包硬约束死） - 检查新生成的
composer.lock，确认只有monolog/monolog及其直系依赖（如psr/log）的 SHA 值变了，其余不变 - 把新
composer.lock提交 Git，并打 tag（如v2.4.1-monolog-3.5），确保部署时拉的是这个精确版本 - 生产环境执行：
composer install --no-dev --optimize-autoloader --classmap-authoritative --no-interaction --prefer-dist
漏掉 --classmap-authoritative？autoload 会 fallback 到 PSR-4 扫描，类加载慢 30%+；少 --optimize-autoloader？vendor/autoload.php 里还是动态映射，每次请求都查文件系统。
install 失败的三个高频原因与对应检查点
不是网络卡、不是磁盘满，而是 lock 文件和运行环境之间存在隐性断层：
-
Your lock file does not contain a compatible set of packages：当前 PHP 版本或扩展（如mbstring、openssl）和 lock 文件生成时的平台不一致。查composer show --platform对比两边输出 -
Class not found：composer install成功了，但代码里new Monolog\Logger报错。先确认vendor/autoload.php是否被引入，再跑composer dump-autoload -o强制重建 classmap（尤其 Laravel/Symfony 项目缓存了旧 autoload） -
Failed to download vendor/package: file could not be downloaded：Packagist 镜像源挂了，或composer.lock里记录的是已下线的 dist URL。临时切回官方源：composer config repo.packagist.org composer https://packagist.org，再重试
真正难的从来不是命令怎么敲，而是搞清哪一环该由谁负责：开发者管 composer.json 和 update，运维管 composer.lock 和 install，CI/CD 管两者的原子交接。任何环节越界，都会让“安全更新”变成静默故障的温床。
