新成员装错依赖主因是混淆install（按lock精确还原）与update（重解析升级），且未将composer.lock视为合同；应统一用normalize格式化json、私有仓库声明内部包、禁用packagist并写死版本。

团队用 Composer 出问题，90% 是因为没搞清 install 和 update 的分工，以及没把 composer.lock 当成“合同”来对待。

为什么新成员总装错依赖？

常见错误现象：新人 clone 项目后直接 composer update，结果装了一堆和别人不一致的版本，跑测试失败、接口报错，却以为是代码 bug。

• 根本原因：混淆了 composer install（按 composer.lock 精确还原）和 composer update（重新解析 composer.json 并升级）的语义
• 正确流程：只要不是你主动要改依赖，一律用 composer install —— 包括首次拉代码、CI 构建、上线部署
• 例外只有一种：你明确要升级某个包，比如 composer update monolog/monolog，且升级后必须提交新的 composer.lock
• 培训时建议让新人在本地删掉 vendor 和 composer.lock，再分别跑一次 install 和 update，对比 vendor/composer/installed.json 里的实际版本差异，比讲十遍更直观

怎么让团队写的 composer.json 长得一样？

不同人手写的 composer.json 字段顺序乱、缩进不一、空行随意，导致 Git 合并冲突频繁，还容易漏掉关键配置。

Discussion Composer

围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par

下载

• 直接上 composer-normalize：运行 composer require --dev johnpbloch/composer-normalize，它会自动注册为插件
• 加进 scripts：在 composer.json 里写 "normalize": "composer normalize"，新人只需 composer run normalize
• Git 提交前卡住：用 pre-commit 钩子执行 composer normalize --dry-run，失败就提示“请先格式化”，不强制拦截但信息明确
• 别全局安装：composer global require 容易版本不一致，每个项目本地装才能保证行为统一

内部包怎么让全团队无缝使用？

团队做了公共工具包（如 acme/utils），但有人用不了，有人装的是旧版，有人甚至不知道该用哪个源。

• 必须走私有仓库：在 composer.json 的 repositories 字段显式声明，例如：
  

  "repositories": [
    {
      "type": "vcs",
      "url": "https://gitlab.internal/acme/utils"
    }
  ]

• 禁用 packagist.org 默认源：加 "packagist.org": false 到 repositories，避免成员误装公网同名包
• 版本约束写死：内部包不用 ^，直接用 "acme/utils": "1.2.3" 或 "dev-main"（配合 "minimum-stability": "dev"），避免自动升级引发意外
• 别靠文档告知地址：把 repositories 配置直接写进项目模板，新人 git clone 就自带，而不是等他翻 Wiki 才知道要配什么

最常被忽略的一点：很多人以为 composer.lock 只是“记录版本”，其实它还锁定了包的下载源、校验哈希、依赖树结构。一旦有人手动编辑或删掉它，再 install 就不再是“还原环境”，而是“重装一套新环境”。这点必须在第一次培训时用 diff 工具现场演示。