composer require 是添加 php 依赖的唯一推荐且强制路径，它同步修改 composer.json、更新 composer.lock、下载包至 vendor 并注册自动加载，四步不可拆分；手动编辑易出错，会导致本地正常而 ci 或线上报错。
composer require 是添加依赖的唯一推荐方式
手动改 composer.json 再运行 composer install 看似可行，但极易出错：逗号遗漏、引号不闭合、版本约束写错（比如把 "^3.0" 误写成 "3.0.*"），导致后续命令直接失败。而 composer require 会自动校验语法、写入正确字段、更新 composer.lock 并下载包，一步到位。
常见用法包括：
-
composer require monolog/monolog:^3.0—— 添加到require，项目运行必需 -
composer require phpunit/phpunit:^10.0 --dev—— 添加到require-dev，仅开发时使用 -
composer require "guzzlehttp/guzzle:^7.5" --no-update—— 只写入composer.json，不立即安装（适合批量修改后统一处理）
遇到 “Root composer.json requires … but it is not satisfiable” 怎么办
这不是网络问题，是依赖冲突。Composer 尝试把新包及其所有子依赖，塞进你当前已有的依赖图里，但找不到一组版本能同时满足所有约束。
排查重点在已有依赖的版本锁定范围：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 检查
composer.lock中已安装的包版本，尤其是和新包有重叠依赖的（比如都用psr/http-message或symfony/polyfill-php81） - 运行
composer why-not vendor/package:version查看具体哪个现有包阻止了安装 - 临时降级新包版本尝试，例如从
^4.0改为^3.5，再逐步试探兼容边界 - 确认 PHP 版本是否满足新包要求（
composer show vendor/package查requires php字段）
为什么不能直接改 composer.json 后 run install
composer install 的作用是严格按 composer.lock 还原环境，它**不会**重新解析 composer.json 里的新内容。如果你只改了 composer.json 却没更新 composer.lock，composer install 会静默忽略新增项，什么都不会装。
正确流程只有两个出口：
- 用
composer require—— 它自动更新composer.json和composer.lock - 或手动改完
composer.json后，必须补上composer update vendor/package-name（推荐）或全量composer update（慎用）
后者风险在于：哪怕只加了一个包，composer update 仍可能连带升级其他包到不兼容版本，尤其当 composer.json 里用了宽松约束（如 "^2.0"）时。
生产部署前必须确认的三件事
新增依赖上线不是加完就完事。容易被跳过的实际卡点：
-
composer.lock是否已提交 Git？没它，CI/CD 跑composer install就会装错版本 - 该包是否真需要进
require？比如symfony/var-dumper误放require，会导致生产环境多载几十 MB 无用代码，还可能暴露调试接口 - Laravel 项目中，这个包是否支持 auto-discovery？如果根
composer.json里写了"dont-discover": ["*"]，那即使装上了spatie/laravel-permission，php artisan permission:create-role也会报 command not found
