flock ./composer.lock 失败的根本原因是文件不存在或权限不足，而非配置错误；composer 的 flock 锁要求文件已存在且可写，不自动创建文件，常见于 ci 首次构建、.gitignore 误排除或 nfs/wsl2 等不支持 posix 锁的文件系统。
flock ./composer.lock 失败：文件不存在或权限不足
直接运行 flock ./composer.lock -c 'composer install' 报 “Cannot open lock file” 或 “No such file or directory”，不是配置错，而是 composer.lock 根本没生成，或当前用户无写权限。
Composer 的 flock 锁依赖已存在的、可写的文件描述符——它不创建文件，只锁住已打开的句柄。常见于 CI 首次构建、Git checkout 后未提交 lock 文件、或 composer.lock 被误加进 .gitignore。
- 先确认文件存在且可写：
ls -l composer.lock；若显示-rw-r--r--且属主不是当前用户，用chmod u+w composer.lock或chown $USER:$USER composer.lock - Docker 中注意挂载卷是否为
ro，或容器内 UID/GID 与宿主机不匹配 - CI 场景下，优先从稳定分支（如
main）复制一份干净的composer.lock再执行 flock - 实在找不到 lock 文件，别硬锁，改用
flock .git -c 'composer install'（前提是.git目录存在且可访问）
flock 在 NFS/WSL2/Windows 上失效：底层不支持 POSIX 锁
报 “Could not lock file /path/to/composer.lock”，但文件可读可写、权限也正常？大概率是文件系统不支持 flock()，比如 NFS 挂载、WSL2 默认挂载的 /mnt/c/、Git for Windows 的 MSYS2 环境。
运行 df -T . 查看挂载类型：若输出含 nfs 或 nfs4，说明 POSIX 锁根本不可靠，必须换方案。
- WSL2 用户请把项目移到
/home/xxx/下的原生 Linux 文件系统路径，避开 Windows 盘符挂载点 - CI 平台优先用原生并发控制：GitHub Actions 用
concurrency，GitLab CI 用interruptible: false+ job-level lock - 退而求其次：部署时禁用插件 + 预生成 lock，即只跑
composer install --no-interaction --no-plugins --optimize-autoloader，确保不触碰 lock 文件
--no-interaction 不能解决并发冲突
很多人以为加了 --no-interaction 或 --prefer-dist 就能避免并发 install 冲突，实际完全无效。这些参数只跳过提示和切换下载方式，不改变文件读写顺序，也不提供原子性保障。
真正导致冲突的是多个进程同时写 vendor/ 和 composer.lock ——哪怕都加了 --no-interaction，照样会覆盖、删目录、破坏 autoload。
- 并发场景下，必须用外部锁机制（如
flock、平台级 job lock），不能靠 Composer 自身参数“假装安全” -
--force-reinstall是重装命令，不是并发控制手段；它仍会写文件，多进程同时跑依然冲突 - 若无法引入外部锁，唯一安全做法是串行化：一个节点 install 完再触发下一个，或用
composer install --no-dev缩短单次耗时降低冲突概率
Windows 下文件被占用导致覆盖失败
在 Windows 上，composer install --force-reinstall 可能中途报 Permission denied 或 Could not delete，不是权限设置问题，而是其他进程正占用 vendor/ 下某个文件或目录。
常见占用源包括 PHP 进程（Swoole、Xdebug）、IDE（PhpStorm 的索引服务）、Web 服务器（Laravel Sail、Valet）、甚至终端自身（PowerShell 正在遍历该目录）。
- 关掉所有 PHP 服务、调试器、本地 Web 服务器
- 退出 IDE，或在 PhpStorm 中禁用 “Synchronize files on frame activation”
- 用 PowerShell 执行精准清理：
Remove-Item -Recurse -Force vendor\some-package，避开全局删除引发的锁竞争 - 仍失败？重启终端（CMD/PowerShell），再试；或临时加
--prefer-dist减少对符号链接的依赖（Windows 默认禁用 symlinks）
flock 形同虚设。判断是否真锁不住，唯一可靠方式是查 df -T 和 ps aux | grep composer，而不是反复重试或盲目清缓存。
