必须依赖 composer.lock 锁定版本，因 composer.json 仅声明版本范围，无法保证跨环境一致性；composer.lock 记录确切版本与校验和，配合 composer install 可精确还原依赖状态。
直接结论：依赖数量多时，靠手动维护 composer.json 几乎不可行；必须依赖 composer.lock 锁定版本 + composer install 精确还原 + 定期 composer update --dry-run 预检变更。
为什么不能只靠 composer.json？
它只声明“允许的版本范围”，比如 "pear/xml_parser": "^1.3"，实际安装时可能拉取 1.3.0、1.3.5 或 1.4.0（只要符合语义化版本规则）。多人协作或跨环境部署时，不锁定具体版本会导致行为不一致——尤其是旧项目里混着 PEAR 迁移包和现代组件时，一个小版本升级就可能破坏 XML 解析逻辑。
常见错误现象包括：
-
Class not found：看似装了pear/xml_parser，但自动加载映射没生成（原因常是autoload配置缺失或未执行composer dump-autoload） - CI 构建通过，生产环境报错：因为 CI 用的是缓存的旧
composer.lock，而你本地新composer install拉了新版依赖 - 更新后功能异常：某个间接依赖（如
symfony/polyfill）悄悄升级，改变了底层字符串处理行为，XML 实体解析结果出错
composer.lock 是唯一可信的“快照”
它记录了每个包的确切版本、校验和、依赖树结构。只要这个文件存在且未被忽略，composer install 就能 100% 复现上次工作状态。
实操建议：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 必须把
composer.lock提交进 Git —— 即使是老项目，初始化后第一次composer install生成的 lock 文件也要立刻提交 - 禁止在生产环境运行
composer update；只允许composer install --no-dev（跳过开发依赖，减少攻击面） - 检查 lock 文件是否完整：运行
composer show --tree对比依赖层级，确认pear/xml_parser及其上游没有意外引入冲突包
批量管理多个旧依赖（如 PEAR 迁移场景）
老项目常有 pear/HTTP_Request2、pear/XML_Util 等一堆 PEAR 包，逐个 composer require 易漏、易错。
更可靠的做法：
- 先用
pear list导出当前已装 PEAR 包列表，再用脚本映射到 Packagist 名称（例如XML_Parser → pear/xml_parser） - 在
composer.json的require字段中一次性写入所有目标包，然后运行composer update --with-dependencies，让 Composer 自动解析并收敛版本 - 若出现版本冲突（如两个 PEAR 包都依赖
pear/Console_Getopt但要求不同版本），不要强行指定^1.4 || ^2.0—— 改用conflict字段明确排除不兼容版本，例如："conflict": {"pear/console_getopt": "2.0.0"}
容易被忽略的加载与性能细节
依赖一多，自动加载器生成慢、内存占用高，尤其在 CLI 脚本里反复 require vendor/autoload.php 时。
关键点：
-
pear/xml_parser不走 PSR-4，它的类名是XML_Parser，必须靠 Composer 的 classmap 或 files 加载机制；检查composer.json中是否有"autoload": {"files": ["vendor/pear/xml_parser/XML/Parser.php"]}，否则会Class not found - 运行
composer dump-autoload --optimize --classmap-authoritative生成高效 classmap，避免运行时遍历文件系统找类 - 如果项目仍用
require_once 'XML/Parser.php'这种老式写法，别指望 Composer 自动加载生效 —— 必须统一改成use XML_Parser或显式包含 vendor 下的路径
