composer install只认lock文件是因为其设计目标是“还原”而非“决策”，它不解析composer.json中的^或~等版本约束，仅严格按lock中记录的精确版本、commit hash、dist url和sha256校验值执行下载与安装。
composer install 为什么只认 lock 文件，不看 composer.json 的版本号？
因为 composer install 的设计目标是「还原」，不是「决策」。它压根不解析 composer.json 里的 ^2.0、~1.2.3 这类约束符号——只要 composer.lock 存在且结构合法，它就只做三件事：读 lock 里记录的精确版本号、下载对应 dist URL、校验 sha256 后解压到 vendor/。
常见错误现象：
- 把
"monolog/monolog": "^2.0"改成"^3.0"，但没运行composer update，install依然装的是 2.x - CI 构建失败，报
Class not found，查发现本地和 CI 的guzzlehttp/guzzle版本不一致——大概率是 lock 文件没提交或被误删
此时 install 会退化为隐式 update，重新跑依赖求解器，结果不可控。
composer install 和 composer update 的本质区别在哪？
install 是线性 I/O 操作，update 是 NP-hard 计算问题。前者照单发货，后者要重新选货+比价+验货。
关键差异点：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
install不联网探测新版本、不判断冲突、不运行求解算法；只要 lock 完整，整个过程是确定的、可预测的 -
update必须加载完整元数据（比如 Packagist 的 packages.json），用 SAT 求解器（Composer 2.x）或回溯算法（1.x）重算整个依赖图 - 中大型项目（70+ 包）实测：v2 的
update耗时从 3 分钟压到 90 秒内，靠的是逻辑建模而非缓存或并发
lock 文件损坏或缺失时会发生什么？
这是 CI 失败最隐蔽的根源之一。一旦 composer.lock 缺失、被 git merge 冲突残留（如 ）、或 JSON 格式损坏（编辑器意外截断），<code>install 就会 fallback 到 update 行为。
注意几个硬性限制：
- Composer 2.x 的 lock 文件含
"plugin-api-version": "2.2.0"字段，1.x 解析直接 fatal error，不是警告 -
composer.lock必须完整加载才能验证签名、校验哈希、重建依赖图——它没有分块标识，无法流式校验 - 手动合并 lock 文件几乎必然出错，正确做法是
git checkout --ours composer.lock+rm -rf vendor+composer install
为什么不能跳过 lock 文件直接用 install？
因为 composer install 的语义就是「按图索骥，原样还原」。它依赖 lock 文件提供四个关键信息：version、commit hash、dist.url、dist.shasum。缺一不可。
容易被忽略的细节：
-
--no-dev只过滤 lock 里已记录的 dev 包，不会动态重算依赖图——也就是说，dev 包是否安装，完全由 lock 决定，不是由 json 的 require-dev 决定 - 即使你删掉
composer.json里的某个包，只要 lock 里还有它，install仍会装 - 升级 Composer 版本后，必须删掉旧 lock 再
install，否则字段缺失导致中断
真正决定环境一致性的不是 composer.json，而是那个看似不起眼、却承载了完整依赖快照的 composer.lock 文件。
