“package is locked to version”不是错误，而是composer严格遵守一致性契约的表现：install仅按composer.lock还原版本，改composer.json后必须运行composer update同步锁文件，才能触发sat求解器重算依赖并生成新lock。
“Package is locked to version”不是错误，是 Composer 在严格执行一致性契约——它没卡住，只是拒绝破坏已承诺的依赖状态。 你改了 composer.json，但没让 composer.lock 同步更新，Composer 就会坚持按锁文件还原，而不是照你新写的约束装。
为什么 composer install 会报“locked to version”
这个提示本质是告诉你：当前 composer.lock 里已固化了某个包的精确版本（比如 "monolog/monolog": "3.5.0"），而你刚改的 composer.json 中该包的约束（如 "^3.6"）虽然看起来更宽，但 Composer 不会主动重算——install 的设计就是“只还原”，不求解。
- 常见诱因：手动改了
require里的版本号或分支名（如从"^2.8"改成"dev-main"），但没运行composer update -
--ignore-platform-reqs完全无效——它跳过 PHP 版本/扩展检查，不干预版本解析逻辑 - 删掉
composer.lock后直接跑composer install会报错：Lock file does not exist. Run composer update to create it.，因为install前提就是锁文件存在
composer update 才是更新锁文件的唯一合法方式
真正触发依赖重算、生成新锁文件的命令只有 composer update。它读取 composer.json 的约束，调用 SAT 求解器，输出新的 composer.lock。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 想更新全部依赖：
composer update（注意：这会重算整棵树，慎用于生产环境） - 只想更新某一个包：
composer update vendor/package（例如composer update monolog/monolog） - 要连带升级它的直系子依赖（比如
psr/log）：composer update vendor/package --with-dependencies - 验证变更再执行：
composer update vendor/package --dry-run先看计划，确认没意外大版本跳变
镜像不同步导致“明明有新版却说没得更”
现象是 composer update vendor/package 输出 Nothing to install or update，但镜像站页面已显示 v3.6.0——根本原因是本地复用了缓存的 packages.json，压根没去远程查新版本。
- 清缓存（
composer clear-cache）无效：它重建整个缓存目录，但旧元数据仍被复用 - 正确做法是两步：
composer update --refresh（丢弃所有缓存的元数据，重载镜像源的packages.json），再跟composer update vendor/package --no-cache（强制走网络下载 ZIP） - 国内镜像（阿里云、腾讯云）通常有 10–30 分钟同步延迟，尤其对
dev-分支，等不及就换源或手动查curl -I https://mirrors.aliyun.com/composer/packages.json看Last-Modified
装 dev-main 分支失败？大小写和前缀必须严丝合缝
Composer 要求分支名必须带 dev- 前缀，且大小写、斜杠必须与远程仓库完全一致。GitHub 上是 main，就不能写 dev-master 或 dev-Main；写成 dev-main/fix（多斜杠）也会失败，报 Could not find a matching version。
- 在
composer.json的require中写明："vendor/package": "dev-main" - 确保项目根目录下已声明
"minimum-stability": "dev"，否则默认只认stable - 仍失败？先运行
composer show -a vendor/package，确认远程确实存在该分支，且末尾标有dev标记
最常被忽略的是：锁文件不是“障碍”，而是契约；你不是在绕过它，而是在用 update 显式重签一份新契约。任何跳过这一步的操作，比如删 lock 后硬跑 install，或者迷信 --no-cache 单独生效，都会卡在同一个地方。
