新环境部署、ci/cd、团队协作必须用composer install，它严格按composer.lock安装确保一致性；仅明确升级且验证兼容时才用composer update，否则易引发破坏性变更。
composer install 和 composer update 到底该用哪个
看项目所处阶段：新环境部署、CI/CD 流水线、团队协作拉代码后，必须用 composer install；只有明确要升级某个包、且已验证兼容性时，才用 composer update vendor/package-name。
关键区别在于：composer install 严格按 composer.lock 安装，不改版本；composer update 会重新解析 composer.json 中的约束，可能升级一堆子依赖，极易引发意外 break。
- 误用全量
composer update是线上故障常见源头，尤其在未锁 PHP 版本或未约束子依赖时 -
composer install报错“Your requirements could not be resolved”？先检查composer.lock是否被手动修改或 Git 冲突残留 - CI 环境务必加
--no-interaction --no-ansi，避免卡在交互提示上
require 和 require-dev 的边界必须划清
运行时依赖进 require，开发期工具进 require-dev——这不是风格问题，是部署安全与体积控制问题。
生产环境执行 composer install --no-dev 会跳过 require-dev 所有包。但如果你把 symfony/var-dumper 或 phpunit/phpunit 错放 require，它们就会被打包上线，多出几十 MB 无用代码，还可能暴露 dump() 调试入口。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 常用开发工具：phpunit/phpunit、friendsofphp/php-cs-fixer、roave/security-advisories、phpstan/phpstan
- 典型运行时依赖：guzzlehttp/guzzle、doctrine/dbal、monolog/monolog、symfony/http-foundation
- 检查方式：运行
composer show --dev对比composer show，确认无敏感工具混入主依赖
autoload 配置写错会导致类找不到，但错误不报在 autoload 上
PSR-4 映射写错，比如 "App\": "src/" 但实际类文件在 app/ 目录下，PHP 运行时会直接抛 Class 'AppFoo' not found，而不会提示“autoload 配置无效”。
根本原因：Composer 只生成映射，不校验路径是否存在；vendor/autoload.php 加载器照常工作，只是查不到对应文件。
- 配置后必须运行
composer dump-autoload -o（-o表示优化，生成 classmap 提升性能） - 检查映射是否生效：运行
composer dump-autoload --dry-run，看输出里有没有你声明的命名空间 - 若用 IDE 跳转失效，别急着调 IDE 设置——先确认
composer dump-autoload -o是否成功执行，且无警告
版本约束写法直接影响更新行为和稳定性
用 ^1.2.3 不等于“装最新版”，它只允许次版本和修订版本升级（如 1.2.5、1.3.0），但绝不跨主版本；而 ~1.2.3 更保守，只允许修订升级（1.2.5），连 1.3.0 都不放行。
生产项目强烈建议统一用 ^x.y.z，既保障向后兼容，又可获取安全补丁；绝对避免写死 "1.2.3" 或模糊的 "1.2.*"——后者在 Composer 2+ 已弃用，且语义不清。
-
"php": "^8.1"是必须项，漏写会导致本地能跑、CI 失败 - 添加新包时，
composer require vendor/name:^3.0比composer require vendor/name更可控 - 升级主版本前，先查包的 CHANGELOG 和 BC Break 清单，再执行
composer update vendor/name --with-dependencies
composer.lock 被多人改乱、autoload 路径和真实目录对不上、或者 require-dev 里的工具悄悄上了生产机——这些点不盯住，自动化流程越顺畅，爆雷越晚。
