composer 2.7+ 默认禁用自动更新锁文件，需显式运行 composer update --lock 同步哈希；v2.5+ 默认启用 lock.require，未同步锁文件时 install 将中止；v2.6+ 的 update 不再隐式刷新全部哈希，仅更新变动包；v2.7 移除 pre-install-cmd 等旧钩子，要求插件适配 php 8.3 和新 package 结构。

Composer 2.7+ 已默认禁用 composer install 的自动更新行为，且 composer update 不再隐式刷新锁文件——这意味着你必须显式运行 composer update --lock 才能同步 composer.lock 中的哈希与依赖树，否则 CI 构建可能因哈希不匹配失败。

如何快速确认当前 Composer 版本及是否启用「严格锁文件校验」

执行 composer --version 可查看版本号（如 Composer version 2.7.7）；但关键判断依据是运行 composer install 时是否报错 Lock file does not contain required package "xxx" 或 Hash mismatch for package xxx。从 v2.5 开始，Composer 默认开启 lock.require 行为，即：若 composer.json 中新增/删减了包，但 composer.lock 未同步更新，install 将直接中止而非自动修正。

• 检查是否启用该策略：composer config --global lock.require，返回 true 即生效
• 临时绕过（仅调试用）：composer install --no-lock，但会跳过锁文件校验，不推荐进 CI
• v2.2–v2.4 默认关闭此检查，升级后需重新评估 CI 流程是否依赖“自动补锁”逻辑

composer update 在 v2.6+ 中不再隐式写入锁文件哈希

旧版（≤v2.5）执行 composer update monolog/monolog 后，composer.lock 中整个依赖树的 content-hash 和所有包的 dist.shasum 会被自动重算并写入。v2.6+ 改为只更新被修改包及其直系依赖的哈希，其余保持原值——这导致同一份 composer.json 在不同机器上运行 update 后，composer.lock 可能产生非功能性的 diff（例如未改动包的 shasum 未刷新）。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• 若需完全一致的锁文件（如审计、可重现构建），必须显式加 --lock：composer update --lock
• --with-dependencies 不影响哈希刷新逻辑，它只控制是否递归更新子依赖
• Git 提交前建议统一运行 composer update --lock --dry-run 预览变更范围

PHP 8.3+ 兼容性与废弃的插件钩子

v2.7 起正式移除 pre-install-cmd 和 post-update-cmd 这两个事件钩子（早在 v2.2 已标记为 deprecated）。它们被更精确的 pre-autoload-dump、post-autoload-dump 及 pre-install/post-install 替代。同时，v2.7 要求最低 PHP 版本为 7.2.5，但已通过完整测试的 PHP 8.3 环境下，部分插件若仍使用 getVersion() 返回字符串而非 Composer\Semver\Constraint\ConstraintInterface 实例，会触发 TypeError。

• 检查插件兼容性：composer plugins list，重点关注输出中是否含 deprecated 字样
• 替换旧钩子：将 "pre-install-cmd": "php build.php" 改为 "pre-install": "php build.php"
• PHP 8.3 下若遇到 Cannot assign string to property Composer\Package\CompletePackage::$version，说明插件未适配新 Package 对象结构，需升级插件或联系作者

真正容易被忽略的是：v2.5+ 引入的「partial update」机制（即只更新指定包）在配合 --with-all-dependencies 使用时，会强制重算整棵树哈希，但不会重写未变更包的 dist.url 字段——如果团队混用私有仓库镜像和 Packagist，这个字段残留旧域名可能导致后续 install 失败。遇到类似问题，先运行 composer update --lock 再提交锁文件。