必须用 composer install 当项目已有 composer.lock 文件且需精确还原生产或他人环境的依赖版本，它跳过解析直接按 lock 安装指定版本、哈希和源地址。
Composer 的 install 和 update 不是“重装”和“升级”的简单对应，而是两种完全不同的依赖解析与锁定策略——前者严格复现，后者重新求解。
什么时候必须用 composer install？
当项目已有 composer.lock 文件，且你希望**精确还原生产环境或他人开发时的依赖版本**，就必须用 install。它跳过版本约束解析，直接按 lock 文件安装每个包的指定版本、哈希和源地址。
- CI/CD 流水线部署、Docker 构建、新同事拉代码后首次安装，都该用
install - 即使
composer.json里写的是"monolog/monolog": "^2.0"，install也会装lock里记的2.8.1，哪怕2.9.0已发布 - 如果删掉
lock文件再运行install，Composer 会报错：Could not find a composer.lock file，不会自动 fallback 到update
为什么 composer update 会改变 composer.lock？
update 的本质是一次全新依赖求解：它读取 composer.json 中的版本约束，联网查询 Packagist 最新匹配包，运行 SAT 求解器（类似逻辑推理）找出一组满足所有依赖兼容性的版本组合，然后覆盖写入 lock 文件。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 执行
composer update monolog/monolog只会更新该包及其子依赖，但依然会重写整个lock文件（时间戳、哈希全变） -
update可能引入不兼容变更——比如symfony/console从5.4升到6.0，即使约束写的是"^5.0 || ^6.0"，求解器也可能选6.0 - 若本地有未提交的
lock修改，update会强制覆盖，Git diff 会丢失人工调整痕迹
install 报错 “Your requirements could not be resolved” 怎么办？
这通常不是 install 本身的问题，而是 lock 文件和当前环境不匹配：比如 PHP 版本升级后，lock 里某些包声明了 "php": "^7.4"，而你现在是 PHP 8.2，Composer 拒绝安装（即使包实际能跑）。
- 先确认 PHP 版本：
php -v，再检查lock文件顶部的platform字段是否匹配 - 运行
composer install --ignore-platform-req=php可跳过 PHP 版本校验（仅调试用，别提交） - 更稳妥的做法是让团队统一 PHP 小版本，并在
composer.json的config.platform.php中显式锁定，避免lock文件记录宿主机真实版本
日常开发中怎么避免误用？
核心原则：不改依赖就不用 update；改了 composer.json（增删/改约束）才触发 update，且必须立刻提交新的 lock 文件。
- CI 脚本里永远写
composer install --no-interaction --prefer-dist，禁用update - 本地开发时，如果只是加了个新类、修个 bug，不需要碰依赖——连
install都不用跑，除非vendor被删了 - 团队协作中，
lock文件比json更重要；有人提交了没带lock的json变更，后续install必然失败
真正容易被忽略的点在于：lock 文件不是“快照”，而是“可验证的安装指令集”——它包含每个包的完整下载 URL、SHA256 哈希、依赖图谱。一旦手动编辑或 Git 合并出错，install 就可能静默降级或安装损坏包，而错误往往延迟到运行时才暴露。
