composer install只读composer.lock而不解析^和~，因其设计目标是精确还原而非重新决策，直接按lock中记录的version、dist.url、dist.shasum拉取校验；无lock时退化为update，触发重算并可能报错。
composer install 为什么只读 composer.lock，不解析 ^ 和 ~？
因为 composer install 的设计目标是「精确还原」，不是「重新决策」。它跳过所有版本约束解析逻辑，直接按 composer.lock 里记录的每个包的 version、dist.url、dist.shasum 拉取并校验——哪怕你把 composer.json 里的 "php": "^8.0" 改成 "^9.0"，只要没运行 composer update，install 就不会报错，也不会升级。
常见错误现象：Your requirements could not be resolved 报错却发生在 composer install 阶段，说明 composer.lock 本身已损坏，或其中记录的某个包在当前环境（PHP 版本、扩展、平台配置）下根本不可用。
- 检查是否缺失
composer.lock：没有 lock 文件时，install会退化为update行为，触发完整依赖图重算 - 检查 PHP 版本是否匹配 lock 中记录的
platform.php：比如 lock 里写的是"php": "8.1.10"，而你本地是 PHP 8.2.5，某些包可能声明了"php": ">=8.1.0 ，就会失败 - 不要删 lock 文件来“解决问题”：它不是缓存，是协作契约；删了会导致队友
install出不同版本
composer install 执行时到底做了哪些事？
执行顺序是线性的、无分支的：加载 → 校验 → 下载 → 解压 → 自动加载注册。中间任何一步失败都会中断，且不回滚已写入的部分（比如部分 vendor 包已解压，但最后一步 autoload 生成失败）。
关键步骤说明：
- 读取
composer.lock，逐条比对vendor/目录是否存在对应包+版本+SHA256 校验值匹配 - 对缺失或校验失败的包，从
dist.url下载 ZIP 或 TAR 包（不是 Git clone），然后用dist.shasum校验完整性 - 解压到
vendor/vendorname/packagename/，同时写入vendor/composer/installed.json记录已安装包的元信息 - 合并所有包的
autoload配置，重生成vendor/autoload.php—— 这一步失败会导致后续require 'vendor/autoload.php'报错
注意：--no-dev 只过滤掉 lock 文件里标记为 dev 的包，不会动态重算依赖树；如果 lock 里没记录某个 dev 包，即使 composer.json 里写了，也不会装。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
为什么 CI 环境必须用 composer install，而不是 update？
因为 composer update 触发 SAT 求解器重跑整个依赖图，结果受当前环境变量、PHP 版本、扩展、甚至 config.platform 影响——同一份 composer.json 在不同时间、不同机器上可能生成不同的 composer.lock。
而 composer install 是幂等操作：只要 composer.lock 不变、网络可访问、PHP 环境兼容，结果就完全一致。
- CI 流水线中若混用
update，可能导致「本地能跑，CI 报错」或「今天构建成功，明天失败」 - 上线前统一更新依赖，应该在开发机上跑
composer update，提交新的composer.lock，再让 CI 执行install - 如果 CI 报
install失败，优先排查composer.lock是否与当前 PHP 版本/扩展兼容，而不是盲目update
composer install 能否跳过 autoload 生成？
不能。这是硬编码行为，没有开关。但你可以绕过它的副作用：
- 如果只是想快速验证依赖是否能下载解压，加
--ignore-platform-reqs跳过 PHP/扩展版本检查（仅限调试，勿用于生产） - 如果
autoload.php生成失败（比如某个包的autoload.files指向不存在的路径），错误会明确提示具体文件名，需检查该包的composer.json是否有误 - 手动修复 autoload：运行
composer dump-autoload，它会重新读取所有已安装包的 autoload 配置并生成文件，前提是vendor/autoload.php的引导逻辑还在
真正容易被忽略的是：lock 文件里记录的每个包，都包含其自身的 require 子树快照。这意味着，即使某个包在 composer.json 中没显式声明，只要它被某个已锁版本的包间接依赖，install 就会把它一起装进来——你看到的 vendor/ 目录结构，是 lock 文件决定的，不是 json 决定的。
