根本原因是 composer install 默认依赖 composer.lock 文件，若其缺失或被忽略则退化为 update 行为导致版本漂移；必须提交 lock 文件、禁用生产环境 dev 包与脚本，并通过哈希比对 installed.json 确保依赖一致。
为什么 composer install 在开发和生产环境装出不同版本？
根本原因在于默认行为差异：composer install 优先读取 composer.lock，但若该文件不存在或被忽略（比如误加进 .gitignore），就会退化为 composer update 行为——即按 composer.json 中的版本约束重新解析依赖树，导致版本漂移。
常见错误现象包括：
- 本地运行正常，部署后报
Class not found或方法不存在 -
composer install --no-dev在生产环境装出 dev-only 包（如phpunit） - CI/CD 流水线每次构建结果不一致
必须确保 composer.lock 提交到 Git
composer.lock 不是“临时文件”，它是锁定所有依赖精确版本（含子依赖）的权威清单。跳过它等于放弃确定性。
实操建议：
- 检查
.gitignore是否意外包含/composer.lock或composer.lock - 运行
git status确认composer.lock已跟踪（应显示为 “new file” 或 “modified”） - 团队协作时，每次
composer update后必须git add composer.lock && git commit - 禁止在 CI/CD 脚本中执行
composer update（除非明确要做依赖升级）
生产环境必须用 --no-dev 且禁用脚本
开发环境需要 phpunit、larastan 等工具，但生产环境不仅不该装，还应避免执行其 autoload 或 post-install-cmd 脚本（可能触发文件写入、缓存生成等非幂等操作）。
正确命令是：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
composer install --no-dev --optimize-autoloader --no-scripts
关键参数说明：
-
--no-dev：跳过require-dev下所有包（不含其子依赖，这点常被误解） -
--optimize-autoloader：生成类映射（classmap），提升autoload性能 -
--no-scripts：禁用post-install-cmd等钩子，防止执行开发专用逻辑（如生成 API 文档、清空测试缓存）
注意：--no-dev 不影响 require-dev 包的子依赖是否安装——只要某个生产依赖间接依赖了它，仍会被拉入。真要彻底隔离，得用 composer require --no-update xxx + 手动删 require-dev 后 composer update --lock。
如何验证两环境依赖完全一致？
光看命令不够，得比对实际安装结果。最直接方式是检查 vendor/composer/installed.json（Composer 2.x）或 vendor/composer/installed.php（1.x）中的哈希与版本列表。
快速验证法：
- 在两个环境分别运行：
composer show --installed --format=json | sha256sum - 对比输出的哈希值——完全一致才代表依赖树 100% 相同
- 若不一致，用
composer show --tree定位哪个包版本不同，再查composer.lock是否被修改或未提交
这个步骤常被跳过，但它是唯一能确认“统一”的证据。没有哈希比对，所谓“统一”只是假设。
