ci中必须用composer install而非update，因其严格按已提交的composer.lock还原包名、版本、哈希、依赖树及扩展要求，确保构建可重现；update会重算依赖，引发bc break或fatal error，且须配合--no-dev、--optimize-autoloader、--classmap-authoritative三参数。
CI里为什么必须用composer install而不是composer update
因为composer install是唯一能保证构建可重现的命令。它不解析composer.json里的版本约束，只照着已提交的composer.lock逐字还原——包名、版本号、哈希值、子依赖树、甚至扩展要求（如ext-json）全部锁定。
而composer update在CI中等于开盲盒：它会丢弃composer.lock，重新跑一遍依赖求解器，哪怕只是monolog/monolog从3.5.0升到3.5.1，也可能因移除某个私有方法导致Class 'Monolog\Handler\NewHandler' not found。
- GitLab CI / GitHub Actions 默认拉取 clean checkout，没
composer.lock就直接报错退出，不会退化成update - 多包 monorepo 项目中，每个子目录必须有自己独立的
composer.lock；漏一个，该子包就会 fallback 到update逻辑 - CI脚本开头加
ls -la composer.lock不是可选动作，是防止缓存污染或误删后的第一道防线
composer install在CI中必须带的三个参数
漏掉任何一个，轻则 autoload 慢 2–3 倍，重则线上直接Fatal error。这不是优化项，是生产构建底线。
-
--no-dev：跳过require-dev里的包。否则phpunit/phpunit、symfony/debug-bundle会被打进镜像，还可能触发class_exists('PHPUnit\Framework\TestCase')这种运行时判断并崩溃 -
--optimize-autoloader（或-o）：生成vendor/composer/autoload_classmap.php，把 PSR-4 映射编译成静态数组，避免每次类加载都遍历文件系统 -
--classmap-authoritative：告诉 autoloader “classmap 里没有的类，就真的不存在”，彻底禁用file_exists()探测——既提速，又防因符号链接或大小写问题误加载
完整推荐写法：composer install --no-dev --optimize-autoloader --classmap-authoritative --no-interaction
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
私有包认证和composer.lock一致性怎么保障
CI里装私有包失败，90% 是因为认证信息没传进去，或者composer.lock里记录的是旧域名/旧凭证下的哈希，但实际仓库地址变了。
- 用环境变量注入认证：
COMPOSER_AUTH='{"http-basic": {"packages.example.com": {"username": "ci", "password": "xxx"}}}'，不要硬编码进auth.json -
composer.lock里会记录每个包的dist.url和dist.shasum；如果私有仓库迁移了域名，旧lock文件里的 URL 就失效，必须先composer update vendor/package-name本地更新再提交 - CI中执行
composer install前，建议加一行grep -q 'packages.example.com' composer.lock || exit 1，确保 lock 文件已适配当前仓库配置
Docker 构建中composer install的缓存陷阱
Docker 多阶段构建里，composer install放错位置会导致每改一行代码都重装全部依赖，构建时间翻倍。
- 必须先
COPY composer.json composer.lock ./，再RUN composer install ...；否则 Docker 缓存失效，每次都会重跑 - 不要
COPY . .后再装依赖——源码变更会破坏缓存层，连带触发 composer 全量重装 - 如果项目用了私有包，
COMPOSER_AUTH不能写进Dockerfile，得用--secret挂载或 CI 的 secret 注入机制传递
真正容易被忽略的是：CI 中的 composer.lock 时间戳是否最新。有人本地改了 composer.json 却忘了 composer update，提交后别人 composer install 就会报 Root package 'xxx' cannot be found —— 因为 lock 里根本没记录那个新包。
