直接删 composer.lock 后运行 composer install 会失败，因为 install 命令语义是“按 lock 精确还原”，无 lock 则无法执行，新版报 Command "install" is not defined，旧版可能静默失败或退化为不可控的 update 行为。
直接删 composer.lock 后跑 composer install 会失败，不是包不存在，而是命令根本执行不下去——composer install 必须依赖 composer.lock 才能运行。
为什么删了 lock 文件还报“包不存在”
这不是网络或镜像问题，而是 Composer 的语义限制：composer install 的唯一职责是“按 lock 精确还原”，它不解析 composer.json 的版本范围。一旦 composer.lock 缺失，Composer 会直接报错：Lock file does not contain required package "xxx" 或更早版本的静默失败。
此时看到的“包不存在”，其实是锁文件缺失触发的 fallback 行为（某些旧版 Composer 会退化成 update），结果不可控、不可复现。
- 别信“删 lock + install = 重装”这种经验式操作
- 真正触发“从
composer.json重新算依赖”的命令只有composer update - 如果项目里压根没生成过
composer.lock，说明它从未被正式安装过，该update就update
删 lock 后必须用 composer update，但要注意平台约束
composer update 会读取 composer.json 中的 require 和 config.platform.php，重新计算整个依赖树。这一步容易踩坑：
- 本地 PHP 版本低于
composer.json中"php": "^8.1"要求？会直接报错，不是跳过，是中断 - 若想临时绕过，可用
composer update --ignore-platform-reqs，但仅限调试；上线前必须修正环境 - 私有包或自建仓库未配置认证（如
github-oauth）？update阶段就会卡在 404，不是 install 阶段
composer update --lock 是什么，什么时候用
这个命令只重写 composer.lock 文件内容，不改动 vendor/ 目录里的任何代码，也不升级包版本。它适合这些场景：
-
composer.lock被手动编辑损坏（JSON 格式错误、字段缺失） - Git 拉取时丢失了 lock 文件，但
vendor/是完好的，只想快速对齐快照 - CI 流水线提示
lock file is not compatible with this version of Composer（比如本地是 v2.5，CI 是 v2.2）
注意：--lock 不校验 PHP 版本或扩展是否满足，它只是“把当前 vendor/ 状态拍个照写进 lock”，所以不能解决“包找不到”的根本问题。
真正要查“包不存在”，先确认三件事
别急着删文件，先快速验证是不是配置或环境问题：
- 运行
composer show vendor/package-name：返回 “no such package” 说明它根本没进依赖图，不是下载失败 - 检查
composer.json中包名拼写（比如guzzlehttp/guzzle写成guzzle/guzzle），末尾空格、引号不匹配都会让解析失败 - 执行
composer check-platform-reqs：它会明确列出缺失的 PHP 版本、扩展（如ext-dom、ext-mbstring），比猜快得多
复杂点在于：composer.lock 既是约束凭证，也是脆弱节点——它一旦和 vendor/ 不一致、和环境不匹配、或格式损坏，所有后续命令都会变成“看起来在修，其实越修越偏”。动手删之前，先看它到底为什么失效。
