composer.lock是部署强制契约，非可选配置；无它则composer install直接报错拒绝执行，有它则完全忽略composer.json版本约束，只按其中packages、packages-dev、version、dist.sha256等字段精确还原依赖。
composer.lock 不是“可选配置”，它是部署时的强制契约——没它，composer install 直接拒绝执行；有它，composer install 就一个字都不看 composer.json 里的版本范围。
为什么 composer install 报 “No lock file present” 不是提示，而是报错
这不是让你“顺手生成一个”，是明确中断流程：Composer 拒绝在无锁状态下安装依赖。新项目第一次初始化，必须用 composer update（不是 install）来生成 composer.lock。误删后直接跑 composer install，新版 Composer（v2.5+）会报 Command "install" is not defined；旧版可能静默失败，但 vendor/ 一定不对。
常见错误现象：
- CI 脚本漏传
composer.lock，不同构建节点装出完全不同的guzzlehttp/guzzle小版本 - 团队成员本地
composer install后vendor/内容不一致，导致“在我电脑上能跑” - 线上部署后突然
Class not found或类型错误，回溯发现是子依赖悄悄升了 patch 版本
composer.lock 里真正决定安装行为的字段有哪些
别被 JSON 结构吓住，关键就三块：
-
packages和packages-dev：分别锁定生产/开发依赖。composer install --no-dev只读前者 - 每个包下的
version：精确到"2.9.1"，不是"^2.0" -
dist.sha256或source.reference：决定下哪个压缩包、校验是否完整、检出哪个 commit
content-hash 字段由 composer.json 全文（含空格、顺序）生成；改了 json 却没 composer update，这个值就不匹配，composer install 会警告但不阻止（除非启用了 lock 校验）。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
Git 合并冲突时能不能手动编辑 composer.lock
不能。它不是普通 JSON，是整个依赖树的序列化结果，字段顺序、嵌套层级、空格都参与哈希计算。手动删改后，composer install 可能报 JSON decode error，或后续类加载失败。
正确做法：
- 先用
git checkout --ours composer.lock或--theirs恢复任一干净版本 - 删掉
vendor/ - 再跑
composer install——如果当前composer.json和所选 lock 不一致，会立刻报错，逼你确认到底要哪套依赖 - 若只是想对齐 lock 和当前
vendor（比如你本地改过包但没更新 lock），用composer update --lock，它只重写 lock 文件，不装不卸不升级
镜像源切换后 composer.lock 还有效吗
有效，但前提是 dist URL 和 sha256 值没变。Composer 安装时只校验 dist.sha256 和文件内容，不校验源地址本身。只要镜像源提供的压缩包和官方一致（URL 可不同，但 hash 必须相同），composer install 就不会察觉。
风险点在于：
- 某些私有镜像缓存策略激进，可能返回已篡改或降级的 dist 包（hash 不匹配，
composer install会中止） - 镜像源未同步最新 tag，导致
source.reference对应的 commit 在镜像中不可达，安装失败 - 切换镜像后首次运行
composer update，可能因解析器行为差异，生成与原 lock 不兼容的新依赖树
真正容易被忽略的点在于：composer.lock 不是“开关”，而是快照——它本身不执行逻辑，只在 composer install 时被读取。哪怕你本地没动任何依赖，只要它不在 Git 里，你就已经把环境一致性交给了网络延迟、镜像源缓存、和 Composer 解析器某次随机的决策逻辑。
