Composer 无法跳过下载源码只拉取 composer.lock 元数据，因其 install 命令本质是依据 lock 文件下载解压代码包；可用 composer show --no-install 查本地缓存元数据，或 composer update --dry-run 获取远程最新元数据但不下载代码。
composer install 时如何跳过下载源码，只拉取 composer.lock 元数据？
根本做不到。Composer 的 install 命令本质就是根据 composer.lock 下载并解压对应版本的代码包，没有“只拉元数据”这一执行路径。所谓“快速同步”，实际是绕开完整安装流程，用更轻量的方式获取依赖信息。
想离线查包信息？用 composer show + --no-install 配合缓存
composer show 默认会尝试加载已安装的包，但加 --no-install 可跳过 autoload 初始化和 vendor 目录检查，仅解析 composer.json 和本地缓存中的元数据。前提是这些包的元数据已在 Composer 全局缓存里存在（比如之前运行过 composer update 或 composer require）。
- 运行
composer show --no-install --format=json能输出所有依赖的 name/version/description 等字段，不触发任何下载 - 如果提示
Package x is not installed，说明缓存里没它——这不是命令问题，是本地没接触过这个包 - 注意：
--no-install不影响show对composer.json的读取，但不会去 packagist.org 实时抓最新信息
需要同步远程元数据但不想下代码？composer update --dry-run 是最接近的方案
--dry-run 会完整走一遍依赖解析、版本比对、远程 API 请求（如访问 https://packagist.org/p2/），打印出将要安装/更新的包列表及版本号，但绝不写入 vendor/ 或修改文件系统。
- 它会触发大量 HTTP 请求，获取最新的
composer.json元数据（含 require、autoload、type 等），但不下载 zip/tar 包 - 速度取决于网络和 packagist 响应，首次运行可能慢；后续因有本地缓存，会快不少
- 错误如
Could not fetch https://packagist.org/p2/monolog/monolog.json表示网络或镜像配置问题，不是命令本身失败 - 别用
composer update --no-install—— 这个参数不存在，Composer 会报错
为什么不能像 npm install --dry-run 那样真正“只同步元数据”？
Composer 的设计哲学是“锁即真相”，composer.lock 必须与实际安装结果严格一致。它的元数据获取始终绑定在具体操作上下文中：解析依赖树要查远程 registry，生成 lock 要确认 dist URLs，验证完整性要读取 hash。没有独立的“元数据同步”子命令，因为没人能保证你拿到的元数据和下一步 install 时的是一致的。
真正省时间的做法，是确保 COMPOSER_CACHE_DIR 指向一个稳定路径，并用国内镜像（如阿里云、腾讯云）降低远程请求延迟。否则，任何想绕过下载的尝试，最后都卡在等 HTTP 响应上。
