composer install是唯一真正读取lock文件的操作，它严格按lock中记录的精确版本、哈希值和依赖树还原环境，完全忽略composer.json的版本范围；require和update只写不读，会覆盖lock。
生产环境依赖锁定不是靠“智能”自动兜底，而是靠明确规则+强制流程+人工校验三者咬合。所谓“智能管理”，其实是把容易出错的环节变成不可绕过的检查点。
composer install 才是唯一真正读取 lock 文件的操作
很多人误以为 composer require 或 composer update 也在用 lock 文件——其实它们只写不读，还会覆盖它。只有 composer install 会跳过版本解析，100% 按 composer.lock 中记录的每个包、子依赖、甚至扩展（如 ext-json）精确还原。
常见错误现象：
- CI 脚本里写了
composer update，每次构建都拉新 patch 版本，composer.lock形同虚设 - 本地删了
composer.lock后直接composer install，等同于全量重解析依赖树 -
.gitignore里误加了composer.lock，导致团队成员composer install实际走的是update逻辑
CI 流水线中必须验证 lock 文件是否最新
开发者忘记 git add composer.lock 是高频事故。仅靠人工 review 很难发现，需自动化拦截。
推荐做法：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- CI 构建阶段第一步：运行
ls -la composer.lock确认文件存在且时间戳最新 - 测试阶段末尾加检查命令：
composer update --dry-run --no-interaction && git status --porcelain composer.lock | grep -q '^??' && echo "ERROR: composer.lock not committed" && exit 1 || exit 0 - 更稳妥方式：CI 先运行
composer install，再执行git diff --quiet composer.lock，有差异就失败——说明本地 lock 未同步
--no-dev 不是可选开关，是生产环境硬性要求
开发依赖（如 phpunit、laravel/pint）不仅浪费磁盘和内存，还可能引入意外的自动加载路径或运行时类冲突。
关键细节：
-
--no-dev会从autoload-dev和require-dev中彻底排除包，连其 autoload 配置都不会注册 - 某些包（如
symfony/var-dumper）在 dev 模式下会注册全局函数（如dump()），上线后残留可能引发Function already defined错误 - 不要依赖
"minimum-stability": "stable"或"prefer-stable": true来替代--no-dev——它们控制版本选择策略，不控制安装范围
PHP 版本变更会间接导致 composer.lock 失效
从 PHP 8.1 升级到 8.2 后，某些包的可用版本范围会变化，composer.lock 中记录的版本可能不再满足新环境约束，composer install 会报错：Your lock file does not contain a compatible set of packages。
此时不能强行忽略，必须：
- 在目标 PHP 版本下重新运行
composer update（仅限开发机） - 完整回归测试
- 提交更新后的
composer.lock
最常被忽略的一点：锁文件本身不会感知 PHP 版本变化，它只忠实地记录上次解析结果；部署前不验证 PHP 兼容性，等于拿着旧地图闯新海域。
