composer install 是上线和CI/CD唯一安全选择，严格按composer.lock安装确保环境一致；composer update仅限本地开发时手动执行，否则引发跨服务依赖不一致与运行时错误。
Composer install 和 update 到底该用哪个？
微服务项目里，composer install 是上线和 CI/CD 的唯一安全选择；composer update 只应在本地开发时、明确要升级依赖版本时手动执行。误用 composer update 会导致各服务的 composer.lock 不一致，上线后行为突变——比如某个共享库的 SharedLogger::log() 在服务 A 里是 v2.1，在服务 B 里被悄悄升到 v3.0，接口签名已变但没报错，日志字段直接消失。
-
composer install严格按composer.lock安装，确保所有环境（dev/staging/prod）依赖完全一致 -
composer update忽略composer.lock，按composer.json中的版本约束重新解析依赖树，可能引入不兼容变更 - CI 流水线中必须禁用
composer update，只允许composer install --no-dev --optimize-autoloader
私有包怎么让 Composer 正确拉取？
微服务共用的 shared-utils 或 domain-models 通常放在 GitLab/GitHub 私有仓库，不是 Packagist 上的公开包。Composer 默认不认私有源，必须显式配置 repositories，且注意认证方式。
- 在根
composer.json里加"repositories"数组，类型选"vcs"，URL 填完整 HTTPS 地址（如"https://gitlab.example.com/php/shared-utils.git"） - Git 认证不能靠 ~/.gitconfig，必须用
auth.json：在项目根目录放auth.json，内容为{"http-basic": {"gitlab.example.com": {"username": "token", "password": "PAT_abc123..."}}} - 避免用 SSH URL（如
git@gitlab.example.com:php/shared-utils.git），CI 环境往往没配 SSH key，HTTPS + PAT 更可控 - 执行
composer require example/shared-utils:dev-main时，务必带分支名或版本别名，否则 Composer 可能报Could not find package
autoload 配置写错，类就永远找不到
共享库的类自动加载一旦配错，Class 'AppSharedValueObjectEmail' not found 这类错误不会在 composer install 时报，而是在运行时才炸，且很难定位是哪个包的问题。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 在共享库自己的
composer.json中，用"autoload"而非"autoload-dev"声明生产级映射，例如："psr-4": {"App\Shared\": "src/"} - 路径必须是相对于包根目录的，
"src/"不能写成"./src/"或"src"（少斜杠） - 命名空间末尾的反斜杠
必须双写为\，否则 JSON 解析失败，Composer 直接忽略该 autoload 规则 - 改完
composer.json后，必须在使用该包的服务里执行composer dump-autoload，否则新映射不生效
微服务间版本冲突怎么破？
服务 A 依赖 shared-config v1.2，服务 B 依赖 v2.0，而两者又都调用同一个底层服务 C —— 这不是 Composer 能自动解决的，它只管当前项目，不管跨服务契约。
立即学习“PHP免费学习笔记（深入）”；
- 根本解法是收敛版本：所有服务统一要求
shared-config ^2.0，旧服务 A 必须重构适配，不能靠 Composer 锁版本“暂时绕过” - 禁止在不同服务中对同一包使用
dev-master或dev-main，这种“活版本”会让各服务实际加载的代码随时漂移 - 用
composer show example/shared-config检查实际安装版本，比看composer.json更可靠；配合composer depends example/shared-config查谁在拖慢升级 - 共享库发版必须语义化（SemVer），重大变更（如 v2.x）必须配套提供 BC layer 或迁移指南，否则微服务团队会集体卡在升级上
共享库不是“扔进 Packagist 就完事”，它的版本策略、autoload 路径、私有源配置，每个环节断掉，微服务就会在某个深夜突然开始 500。最常被跳过的其实是 auth.json 权限和 dump-autoload 这两步。
