composer install 必须读取 composer.lock 才算安全，因为它严格按 lock 文件中记录的包名、精确版本、SHA256 hash 和下载路径复现依赖，确保 100% 确定性；若 lock 缺失或与 json 不一致，应先拉取最新 lock 再 install，而非直接 update。
composer install 为什么必须读取 composer.lock 才算安全
因为 composer install 的唯一职责是复现已验证的依赖状态：它跳过所有版本解析，只按 composer.lock 里记录的包名、精确版本号、SHA256 hash 和 zip 下载路径，从缓存或镜像拉取并解压。只要 lock 文件存在且未被篡改，结果就 100% 确定。
常见错误现象：Your lock file does not contain a compatible set of packages——这不是网络问题，而是 composer.json 和 composer.lock 明显不一致（比如别人删了 monolog/monolog 但没提交新 lock）。此时不能直接跑 composer update，否则会悄悄升级一堆包。
- 先
git pull拉最新代码（含队友提交的composer.lock），再运行composer install - 若确认要同步
composer.json的改动，用composer update --lock（只重写 lock，不重装包） - 想预览变更？加
--dry-run：composer update --dry-run
composer update 实际在重跑整个依赖求解器
composer update 不是“升级几个包”，而是丢掉 composer.lock，从头启动 Composer 的 Solver 组件：遍历所有包的可用版本、检查 PHP 版本/扩展/其他包约束、回溯冲突路径……这是 NP-hard 级别计算，耗时可能从几秒飙升到数分钟，且每次结果未必相同。
哪怕只是把 "guzzlehttp/guzzle": "^7.0" 升到 7.9.2，也可能触发 psr/http-client 从 1.0.3 升到 1.1.0，而后者修改了 sendRequest() 的返回类型，导致调用方报 TypeError。
-
composer update monolog/monolog不是只更新这一行——它会连带更新所有子依赖（如psr/log），结果不可预测 - 想最小化影响？加
--with-dependencies显式控制范围，或优先用composer require monolog/monolog:^2.10 - CI/CD 脚本里绝对不要出现
composer update——没有人工审查环节，等于放任环境漂移
path 仓库场景下 install 与 update 的行为差异更敏感
当项目使用 path 类型仓库（如 "repositories": [{"type": "path", "url": "../my-package"}]）时，composer install 和 composer update 对本地文件变动的响应逻辑完全不同：
-
composer install仍严格按composer.lock中记录的 commit hash 或 symlink 路径安装，即使你本地改了../my-package的代码，也不会自动生效 -
composer update会重新扫描path目录下的composer.json，读取其version字段（或自动推导为dev-main），然后强制重装——这可能导致 vendor 中的 symlink 指向一个未测试过的本地快照 - 若
path包本身有require其他包，composer update还会递归重算这些依赖，进一步放大不确定性
生产部署中，path 仓库应仅用于开发调试；上线前务必切换回 packagist 正式版本，并确保 composer.lock 已锁定对应 hash。
CI/CD 和生产环境必须用 install，且要校验 lock 文件完整性
composer install 在 CI/CD 中是唯一可接受的操作：它不访问 packagist.org API、不调用 Solver、纯 I/O，耗时稳定在秒级。而 composer update 在无审查的自动化流程中等于放弃环境一致性保障。
容易被忽略的关键点：
- CI 脚本开头必须加
ls -la composer.lock或test -f composer.lock，防止缓存残留旧 lock 或误删后 fallback 到 update 行为 -
composer install --no-dev必须显式加上，否则会装phpunit、laravel/pint等 dev 依赖，增大镜像体积且可能暴露调试入口 - 若项目含
path仓库，CI 环境必须确保该路径不存在（或清空），否则composer install可能意外链接到本地未提交代码
真正棘手的地方在于：lock 文件的 hash 校验只覆盖包元数据，不校验 path 仓库内容本身——这意味着你得靠 Git 提交记录和 CI 阶段的 clean checkout 来保证那一行 ../my-package 真的是你期望的版本。
