答案是确认失效包并更新依赖。当出现“locked package is not available”错误时，表明composer.lock中记录的某包版本在packagist上已被移除、重命名或下架；应先通过composer install -v或composer update --dry-run定位问题包，再根据是否可控决定升级替换、调整顶层依赖或私仓重建，最后运行composer update生成新lock文件以确保确定性构建。
Composer install 报错 “locked package is not available” 怎么办
直接结论：不是网络或权限问题，而是 composer.lock 中记录的某个包在 Packagist 上已被移除、重命名、私有化，或其某版本被强制下架（常见于安全撤回或维护不善的废弃包）。Composer 拒绝安装“不存在”的哈希，所以报错。
怎么确认哪个包失效了
错误信息里通常会带具体包名和版本，例如：Package foo/bar at version 1.2.3 is not installable。如果没写清楚，运行以下命令定位：
composer install -v
加 -v 后会显示详细依赖解析过程，出错前最后一行加载的 package 就是问题源。也可以临时删掉 vendor/ 和 composer.lock，再跑：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
composer update --dry-run
它不会改任何文件，但会模拟更新并报出所有不可达包。
修复方式取决于你是否能改依赖
分三种情况处理：
- 如果你控制该包的使用（比如自己写的
require）：直接在composer.json中升级或替换为活跃替代品，例如把已归档的guzzlehttp/guzzle:~5.0改成^7.0或迁移到symfony/http-client - 如果失效包是某依赖的子依赖（transitive dependency）：运行
composer why-not vendor/package:version查清谁拉进来，再决定是升级顶层依赖，还是用composer require --update-with-dependencies强制刷新整条链 - 如果必须保留旧版（如 legacy 系统）：可临时用
composer install --ignore-platform-reqs绕过部分校验（不推荐），更稳妥的是 fork 原包到私仓，重新发布对应版本，并在repositories中声明镜像源
为什么不能跳过 lock 文件校验
composer.lock 不只是缓存，它是确定性构建的契约。跳过校验（如用 --no-lock）会导致不同机器装出不同版本，可能引入兼容性断裂。真正可靠的解法永远是让 composer.lock 重新生成——也就是先解决 composer.json 层级的依赖冲突，再 composer update 生成新 lock。很多团队卡在这里，是因为把 lock 当成只读文件，其实它该随 json 变更一起提交。
