回滚依赖最稳的方式是还原 composer.lock 并执行 composer install，因其精确复现版本、哈希与依赖树，不触发解析逻辑；而 composer update 会重新求解，导致结果不可控。
回滚依赖最稳的方式不是改 composer.json，而是直接还原 composer.lock 并跑 composer install。
为什么 composer install 比 composer update 更适合回滚
因为 composer.lock 文件记录的是所有依赖的**精确版本+哈希值+依赖树快照**。只要这个文件没被删或破坏，composer install 就会原样复现当时的依赖状态，不触发任何版本解析逻辑。
- 执行
composer update会重新走一遍依赖求解器，可能拉入新子依赖、跳过已知冲突、甚至因 Packagist 元数据变更导致结果不一致 -
composer install在有composer.lock时完全忽略composer.json中的版本约束（比如^2.0或~1.5.0） - CI/CD 流水线中必须用
composer install，否则环境不可控
怎么安全地还原 composer.lock
前提是它已被提交到 Git —— 这是唯一前提。没提交就只能靠本地备份或 composer show --all 手动拼凑版本号。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 查最近一次“还能跑”的提交：
git log -n 10 --oneline -- composer.lock - 恢复指定提交的 lock 文件：
git checkout abc1234 composer.lock - 确认内容无误后立即安装：
composer install - 如果项目用了
platform-check（如检查 PHP 版本），加--ignore-platform-req=php可临时绕过校验，但别在生产环境这么干
composer reinstall 不是万能的
这个命令只重装 composer.lock 里已有的版本，不会改变版本号，也不解决依赖树不一致的问题。它适合包损坏、部分 vendor 文件丢失，但不适合逻辑性回滚。
- 运行
composer reinstall monolog/monolog后，monolog/monolog的版本还是 lock 文件里记的那个，哪怕你刚在composer.json里把它改成^3.0 - 它不会更新子依赖，也不会修正因其他包升级引发的自动加载冲突
- 如果你看到
Class not found且vendor/autoload.php已存在，先composer dump-autoload，再考虑 reinstall
手动改 composer.json 回滚要小心主版本号
直接编辑 require 字段降级（比如把 "guzzlehttp/guzzle": "^7.0" 改成 "^6.5"）看似简单，但风险集中在这三点：
- 语义化版本符号变化：从
^7.0切到^6.5是跨主版本，很可能触发大量conflict报错，尤其当其他依赖暗含guzzlehttp/guzzle:^7时 -
composer update guzzlehttp/guzzle仍可能拉入6.5.6而非你想要的6.5.0，因为锁文件未同步清理 - 必须配对执行：
composer update guzzlehttp/guzzle --with-all-dependencies，否则子依赖可能卡在旧版，导致运行时报错
真正需要手动干预的场景极少，比如 lock 文件丢失 + 没法查 Git 历史 + 你清楚知道每个包该回哪个小版本 —— 这种情况建议先 composer show guzzlehttp/guzzle 看历史可用版本，再逐个指定安装。
