composer 没有真正的“增量同步 vendor”能力，所谓增量只是错觉；离线环境下想更新依赖，必须在联网机完成全部变更，再整体替换 vendor + composer.lock。
Composer 没有真正的“增量同步 vendor”能力，所谓增量只是错觉；离线环境下想更新依赖，必须在联网机完成全部变更，再整体替换 vendor + composer.lock。
为什么 composer install 从不真正“增量”
它不是 diff 工具，也不扫描文件差异。只要 vendor/ 目录存在，composer install 就只校验每个包的 dist.shasum 是否匹配 composer.lock，既不删除旧版本、也不覆盖冲突文件、更不会识别“多装了什么”或“少装了什么”。
- 现象：
monolog/monolog在 lock 中是2.8.2，但vendor/monolog/monolog里还留着2.7.0的代码 ——install完全沉默，运行时却因方法缺失 fatal error - 根本原因：Composer 的语义是“精确还原”，不是“补差”；它不维护 vendor 状态快照，也不生成 delta 清单
- 离线机上运行
composer update必然失败，它底层必须访问 repo.packagist.org 或你配的镜像源拉取 packages.json
离线环境如何安全“更新”一个包
本质是换机器操作：所有变更逻辑必须在联网开发机上闭环完成，目标机只做原子替换和 autoload 刷新。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 在开发机执行：
composer require vendor/package:^3.0或composer update vendor/package，确保生成新composer.lock - 检查并修正风险项：
– 删除composer.json中的"minimum-stability": "dev"
– 运行composer update --lock强制把dev-main转为3.0.1这类语义化版本
– 确认所有dist.url字段不以https://开头（否则COMPOSER_DISABLE_NETWORK=1下直接退出） - 执行干净安装：
rm -rf vendor && composer install --no-dev --prefer-dist --optimize-autoloader - 打包前清理：
– 删除vendor/composer/installed.json（含绝对路径，跨机易出 autoload 异常）
– Windows 下删掉vendor/bin/（软链失效）
目标机还原时的关键命令与陷阱
解压后不能直接跑 composer install，默认行为仍会尝试联网校验元数据，哪怕 vendor 已满。
- 必须前置设置环境变量：
Linux/macOS：export COMPOSER_DISABLE_NETWORK=1
Windows CMD：set COMPOSER_DISABLE_NETWORK=1 - 执行三 no 命令跳过所有网络敏感环节：
composer install --no-plugins --no-scripts --no-autoloader
–--no-plugins：防止 symfony/flex、phpstan/extension-installer 等插件偷偷发起 HTTP 请求
–--no-scripts：跳过 post-install-cmd，避免调用 artisan 或外部 API
–--no-autoloader：绕过 autoload 初始化阶段（某些自定义加载器会触发远程类查找） - 最后强制重建 autoload：
composer dump-autoload -o，否则大概率报Class not found - 验证是否真离线：
echo '127.0.0.1 packagist.org' | sudo tee -a /etc/hosts（Windows 改%SystemRoot%\System32\drivers\etc\hosts），再跑composer install -v，看到Connection refused才算到位
最易被忽略的是 composer.lock 中的 content-hash：它对换行符、空格、JSON 格式极度敏感。开发机改完 lock 后没在目标机重新验证，就可能卡在 The lock file does not contain require-dev information —— 这不是网络问题，是文件内容已失一致。
