composer install行为完全确定的前提是composer.lock完整且环境匹配；不确定性源于lock缺失、损坏或平台约束不一致。它只校验、下载、解压lock中精确版本，不解析任何版本约束。
composer install 的行为完全确定，前提是 composer.lock 文件完整且未被篡改；任何不确定性都源于 lock 文件缺失、损坏，或执行环境与 lock 中记录的平台约束不一致。
为什么 composer install 有时装出不同版本的包
它根本不会“装出不同版本”——只要 composer.lock 存在、校验通过、且执行环境满足其中所有 php 和扩展要求，composer install 每次还原的结果都严格一致。
常见偏差来源：
-
composer.lock被手动编辑过（哪怕只多一个空格），导致 SHA256 校验失败，Composer 自动 fallback 到composer update行为 - CI 环境 PHP 版本是 8.0，而
composer.lock里某个包的require.php字段写的是^8.1，安装时跳过该包但不报错，后续运行时报Class not found - 本地用了 Composer 2.5.8，CI 用的是 2.4.3 —— 这本身不影响
install，但若 CI 没拉到最新composer.lock，就会触发解析，而不同 Composer 版本的 SAT 求解器在相同输入下可能收敛到不同解 -
config.platform.php在composer.json中被设为"8.2.10"，但实际运行环境是8.1.25，Composer 会按 platform 值检查 lock 文件中每个包的require.php，不匹配则拒绝安装
composer.lock 不是缓存，而是契约快照
composer.lock 记录的不是“哪些包要装”，而是“这组包+精确版本+完整依赖树+自动加载配置+源码哈希值”的一次性数学快照。它由 composer update 运行 SAT 求解器后生成，之后 install 只做三件事：校验、下载、解压、写 autoload。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
关键事实：
- 它不包含任何版本范围符号（如
^或~），全是具体版本号，例如"monolog/monolog": "2.10.0" - 它显式列出所有间接依赖，比如
laravel/framework依赖的symfony/console版本，也出现在packages数组里 - 它的
content-hash字段是根composer.json内容的哈希，不是依赖图哈希；修改autoload或scripts也会导致 hash 变更，触发重新update - 删掉它再跑
install，等价于没加--dry-run的update，会调用 SAT 求解器重算整张图
确定性失效的三个真实信号
当 composer install 表现出非确定性，直接查这三个点，90% 能定位：
- 执行
composer install -v，看第一行输出是否含Resolving dependencies—— 出现即说明composer.lock缺失或校验失败 - 执行
cat composer.lock | jq -r '.platform.php'（需装 jq）或手动搜"php"，确认锁文件声明的最低 PHP 版本与当前php -v输出一致 - 执行
git status composer.lock，确认它没被忽略、没在 .gitignore 里、且已git add并提交 —— 尤其注意团队是否统一了.gitattributes防止换行符污染
确定性不是默认属性，是靠 lock 文件 + 一致环境 + 不干预求解过程共同维持的脆弱平衡。最常被忽略的一点：lock 文件里的 packages-dev 区块也参与校验，哪怕你加了 --no-dev，只要它损坏，install 仍会 fallback 到 update。
