根本原因是底层文件系统不支持POSIX flock()，如WSL2的/mnt/c/、NFS或NTFS；应迁至Linux原生路径（如~/project），或改用CI平台级锁、flock .git -c 'composer install'临时绕过。
容器内 composer install 报 Could not lock file ./composer.lock 怎么办
根本不是锁文件内容问题，而是底层文件系统不支持 POSIX flock()。Docker 默认挂载卷（尤其是绑定宿主机路径）在 WSL2 /mnt/c/、NFS 或 Windows NTFS 上时，flock() 调用直接静默失败，报错却显示“权限拒绝”或“无法锁定”。
- 先验证：进容器运行
df -T .，输出含ntfs、nfs或9p就坐实问题 - WSL2 用户必须把项目移到
~/project（Linux 原生 ext4 路径），避开/mnt/c/ - 临时绕过：用
flock .git -c 'composer install'（前提是.git目录存在且可写） - CI 场景别硬扛锁——GitHub Actions 用
concurrency，GitLab CI 用interruptible: false+ job 级独占
Docker 构建时 vendor/ 所有权为 root 导致后续命令失败
本地构建镜像时若用了 sudo docker build 或基础镜像以 root 用户运行，生成的 vendor/ 和 composer.lock 所有者就是 root，后续非 root 用户（如 www-data）运行 PHP 进程会因无权读取 autoload.php 报错。
- 构建阶段统一用非 root 用户：
RUN addgroup -g 1001 -f www-data && adduser -S www-data -u 1001，再USER www-data - 避免在
Dockerfile中执行sudo composer install——这是污染源头 - 若已污染，RUN 阶段加修复：
RUN chown -R www-data:www-data /app/vendor /app/composer.lock - 更稳妥：在
composer.json里加"scripts": {"post-install-cmd": "chmod u+x vendor/bin/*"}，解决 bin 文件执行位丢失
CI 流水线中 composer.lock 缺失或格式不兼容
CI 拉取代码后 composer install 直接失败，常见于 composer.lock 未提交、被 .gitignore 拦截，或本地用 Composer v1.x 生成而 CI 是 v2.5+，导致 lock 文件结构不识别。
- 检查 Git 历史：
git ls-tree -r HEAD --name-only | grep composer.lock，确认它真在仓库里 - CI 脚本开头加防御性检查：
test -f composer.lock || { echo "composer.lock missing"; exit 1; } - 格式不兼容时，不要删锁重装——改用
composer update --lock升级 lock 结构，不改依赖版本 - 缓存策略要匹配：若用
cache: composer，确保缓存键包含composer --version输出，避免 v1/v2 混用
多阶段构建中 vendor/ 复制后权限丢失
从 builder 阶段 COPY --from=builder /app/vendor /app/vendor 后，PHP 运行时报 Permission denied，是因为 COPY 不保留属主信息，默认归目标阶段用户（常为 root），但运行时切换成非 root 用户后无权访问。
- 显式指定属主：
COPY --chown=www-data:www-data --from=builder /app/vendor /app/vendor - 或在 builder 阶段末尾统一改属主：
RUN chown -R www-data:www-data /app/vendor - 禁止在 final 阶段用
chmod -R 777 /app/vendor——它破坏符号链接、触发安全扫描告警，且对 autoload.php 的 umask 敏感 - 关键点：
vendor/autoload.php必须可读，但不需要可执行；重点是vendor/bin/下脚本需+x，可用post-install-cmd自动补
真正容易被忽略的是：容器内修复所有权必须在构建阶段完成，运行时靠 chown 补救既低效又不可靠；而所有基于 flock() 的锁机制，在跨文件系统挂载场景下本质不可用，不该作为一致性保障的依赖。
