Package xxx is missing from your lock file 是 path 类型依赖报错，表明 lock 文件记录的本地路径包实际不存在或不可读，需用 composer show --path 定位缺失路径并确认其存在、可读且含 composer.json。
Composer install 时提示 Package xxx is missing from your lock file
这是 path 类型依赖最典型的报错，说明 composer.lock 记录了某个本地路径包（如 "my/package": "dev-main" + "type": "path"），但当前项目里该路径实际不存在或不可读。
常见原因包括：路径被重命名/删除、vendor/ 被手动清理但没删 lock、CI 环境没同步 path 包目录、Git 忽略了该目录但 lock 文件仍引用它。
- 先运行
composer show --path，它会列出所有 type=path 的包及其当前解析到的绝对路径 —— 如果某行显示NOT FOUND或直接报错，就定位到问题包 - 检查
composer.json中对应包的repositories配置，确认url字段指向的路径是相对 project root 的有效目录，且该目录下有composer.json - 若路径存在但权限不足（如 Docker 容器内挂载为只读），
composer install会静默失败，此时加-v参数可看到Could not read package info from xxx类错误
为什么 composer update 不报错，但 composer install 报？
composer update 会重新解析所有仓库（包括 path），跳过缺失路径并尝试从其他源拉取 —— 这反而掩盖了问题；而 composer install 严格按 lock 文件还原，路径必须存在且内容匹配 hash。
- lock 文件里的
dist段对 path 包是空的，但source段会记录type: "path"和reference（通常是 commit hash 或 symlink target），如果路径消失，install就无法校验 - 不要用
composer update --lock来“修复” —— 它可能把 path 包替换成 packagist 上同名版本，导致行为突变 - 真正安全的做法是：确保 path 目录存在 → 运行
composer update my/package --with-dependencies→ 再composer install
CI/CD 中如何提前发现 path 依赖丢失？
在 CI 流水线里，仅靠 composer install 失败才报警太晚；应在依赖安装前主动验证。
- 加一步检查脚本：
php -r "foreach (json_decode(file_get_contents('composer.json'))->repositories as $r) { if ($r->type === 'path') { $p = realpath($r->url); if (!$p || !is_dir($p)) die("Path repo ${$r->url} missing\n"); } }" - GitLab CI 可用
before_script，GitHub Actions 可在run步骤中用sh -c执行类似逻辑 - 注意：路径是相对于
composer.json所在目录解析的，不是相对于当前 shell 工作目录 —— CI 中务必cd到项目根再执行
路径依赖本身不参与 Packagist 分发，它的可靠性完全取决于你对目录生命周期的控制。一旦出现 “missing from lock file”，别急着删 lock 或切源，先确认那个 url 值指向的位置现在到底有没有、能不能读、里面有没有合法的 composer.json。
