真冻结依赖需在composer.json的require中写死三位版本号，如"monolog/monolog": "2.11.0"；带^、~、*或dev-均为范围允许而非锁定，必须配合--locked参数执行composer install才能确保lock文件与json严格一致。
composer.json 里写死三位版本号才是真冻结
冻结依赖不是靠 composer.lock 文件本身，而是靠你在 composer.json 的 require 字段里写明确的三位点号版本，比如 "monolog/monolog": "2.11.0"。任何带 ^、~、* 或 dev- 的写法，都不算冻结——它只是“允许范围”，不是“锁定”。
常见错误现象：
- 写了
"monolog/monolog": "^2.11"，结果上线后装了2.12.3，日志格式突变导致告警失效 - 写了
"monolog/monolog": "2.11"，在 Composer 2.0+ 下被解析为2.11.0，但旧环境可能当2.11.x处理，行为不一致
正确做法：
- 删掉所有
^和~，只留纯数字，如"symfony/http-foundation": "6.4.12" - 改完立刻运行
composer update symfony/http-foundation（指定包），不要用无参数的composer update - 确认生效：执行
composer show symfony/http-foundation，输出必须是精确版本；再跑一次该命令，应提示Nothing to install or update
部署时必须只用 composer install，且带上 --locked
composer install 是唯一读取并信任 composer.lock 的命令；而 --locked 参数是最后一道校验——它会比对 composer.lock 里的每个版本是否仍满足 composer.json 中声明的约束。哪怕你写死了 "2.11.0"，如果 lock 文件里记的是 2.11.1，--locked 就会直接报错退出，不让你糊弄上线。
容易踩的坑：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- CI 流水线里漏加
--locked，lock 文件被篡改或过期也照常装，等于白冻 - 误用
composer update替代install，哪怕没改composer.json，也会重新解析整棵树，可能升级其他包 - 本地删了
vendor后只跑composer install，但composer.lock没提交 Git，结果装的是按composer.json新算出来的版本
require-dev 不影响运行时，但会悄悄拖慢构建和污染 lock
开发依赖不会进生产环境，但它们会参与依赖解析、写入 composer.lock、占用镜像体积、延长 CI 构建时间，甚至引入安全风险（比如旧版 phpunit/phpunit 带已知 RCE）。所以冻结核心业务依赖的同时，必须清理掉不需要的 require-dev。
实操建议：
- 定期检查
composer.json的require-dev字段，删掉长期不用的包，比如废弃的phpstan/phpstan旧版本、已迁走的laravel/dusk - Docker 构建或线上部署时，强制加
--no-dev：它不修改 lock，只是跳过安装，但能省下 30%+ 的 vendor 体积和构建时间 - 私有包要配
"archive": {"exclude": ["/tests", "/docs"]}，否则 lock 文件会记录被排除路径的哈希，徒增大小和解析开销
composer.lock 文件过大？它不只是版本快照
composer.lock 不是简单的版本列表，它存了每个包的完整元数据：dist checksum、source commit、require-dev 列表、autoload 映射、甚至 VCS 类型。大型项目里，重复字段 + 未清理的 dev 依赖会让它膨胀到十几 MB，导致 composer install 解析卡顿、Git diff 巨大、CI 日志爆炸。
减重关键动作：
- 运行
composer update --lock（不带包名），它会合并冗余字段、压缩 JSON 格式、剔除已不存在的包引用 - 避免手动编辑
composer.lock——JSON 格式敏感，一个逗号错就让整个文件失效 - CI 中启用
--no-interaction --no-progress --optimize-autoloader，这些参数不改 lock，但能显著降低 install 阶段 CPU 和 I/O 压力
真正难的不是写死版本，而是让整个链路（composer.json 写法 → update 执行方式 → lock 提交规范 → 部署命令组合）全部闭环。少一环，冻结就形同虚设。
