直接删 composer.lock 错误，应使用 composer install --no-install 重建：它基于当前 composer.json 和完整 vendor/ 解析依赖并写入 lock，不改动包版本，修复格式错误、哈希不一致等问题。
直接删 composer.lock 文件是错的，重建必须配合 composer install 或明确的依赖解析策略，否则会跳过 lock 文件校验、引入不一致版本。
为什么不能直接 rm composer.lock 后跑 composer update
这会导致所有依赖按最新兼容规则重新解析，composer update 默认升级到满足 composer.json 约束的最高版本（含次版本、补丁版），不是“重建 lock”，而是“重算依赖树”。真实需求往往是：保留当前已安装的精确版本，仅刷新 lock 文件结构或修复损坏。
- 常见错误现象：
composer install报Lock file does not contain required package "xxx"，但vendor/里明明有 - 正确做法：先确保
vendor/与当前composer.json逻辑匹配，再用composer install --no-install生成新 lock - 若想强制从
composer.json重推 lock（忽略 vendor），用composer install --no-dev --dry-run验证后再执行，避免误删
composer install --no-install 是重建 lock 的标准方式
这个命令跳过安装包动作，只做依赖解析 + 写入 composer.lock，且严格基于当前 composer.json 和已有的 vendor/（如有）。它能修复 lock 文件格式错误、字段缺失、哈希不一致等问题。
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 适用场景：lock 文件被手动编辑损坏、Git 合并冲突残留、PHP 版本升级后需更新 lock 中的 platform config
- 执行前确认：
vendor/必须存在且完整，否则会报错退出（这是保护机制） - 参数差异：
--no-install不等价于--dry-run；后者只打印计划不写文件，前者写 lock 但不改 vendor - 性能影响：比
update快得多，因不查远程仓库，只本地验证依赖图
当 vendor/ 已丢失或不可信时，用 composer update --lock
Composer 2.2+ 支持该标志：它不安装包、不升级版本，仅根据 composer.json 重新生成 lock 文件（包括更新 content-hash 和平台信息）。这是唯一安全替代 rm lock && update 的方案。
- 注意兼容性：低于 Composer 2.2 会报错
Unknown option: lock，需先升级：composer self-update - 不会改变任何包版本号，
packages数组中的version和dist.reference全部保持原样 - 容易踩的坑：如果
composer.json里写了"php": "^8.1"但当前是 PHP 7.4，--lock仍会成功——它不校验 platform，只校验语法和依赖逻辑 - 推荐搭配使用：
composer update --lock --with-dependencies可同步更新子依赖的 lock 字段（如 require-dev 中间接引用的包）
真正麻烦的不是重建 lock，而是搞不清当前 vendor/ 到底对应哪套版本约束。每次怀疑 lock 失效，先运行 composer show --outdated 看实际安装版本是否偏离预期，比盲目重生成更可靠。
