Composer 真正锁定依赖需同时满足：composer.json 写三位完整版本号（如"2.11.0"）、提交 composer.lock 到 Git、部署时运行 composer install；缺一不可。
Composer 锁定依赖版本，不是靠开关或命令行参数，而是靠 composer.json 里写死精确版本号 + composer.lock 提交进 Git + 部署时用 composer install —— 缺一不可。很多人改了 JSON 却没更新 lock，或删了 lock 又只跑 install，结果根本没锁住。
composer.json 里怎么写才算真正锁定
必须用三位数字的完整版本号，不带任何符号："monolog/monolog": "2.11.0"。写成 "^2.11"、"~2.11"、"2.11.*" 或甚至 "2.11"（缺补丁号）都不算锁定——这些写法都允许 Composer 在语义化版本兼容范围内自动升级。
-
"2.11"在不同 Composer 版本中可能被解析为2.11.0或2.11.x，行为不一致，必须写全三位 - 改完
composer.json后，必须立刻运行composer update monolog/monolog（指定包名），否则composer.lock不会同步变更，等于白改 - 验证是否生效：运行
composer show monolog/monolog看输出版本；再跑一次composer update monolog/monolog，若提示Nothing to install or update，才算锁成功
为什么改了 composer.json 还是被升级了
常见原因是操作链断在某个环节：改了 JSON 却没执行 composer update vendor/package 更新 lock；或者虽然更新了 lock，但没提交到 Git；又或者上线时误用了 composer update 而非 composer install。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer.lock是快照，不是配置文件；它本身不“起作用”，真正执行锁定逻辑的是composer install命令 - 删掉
composer.lock后跑composer install，等同于执行一次composer update，所有依赖都会重新解析 - CI/CD 流程里用了
composer install --no-lock，会跳过 lock 校验，直接退化为 update 行为 - 本地报
Your lock file is out of sync，说明composer.json和composer.lock对不上；此时该跑composer install（保持现状）还是composer update（接受变更），取决于你是否主动改了 JSON
部署时怎么确保不漂移
生产环境必须用 composer install，且确保 composer.lock 已提交到 Git。CI 构建脚本里别写 composer update，哪怕只是“顺手更新一下”。
- 上线前加一道保险：
composer install --locked，它会校验composer.lock中每个版本是否仍满足composer.json的约束，不满足直接报错退出 - 如果 CI 报
content-hash mismatch警告，别硬压 warning，应该修复根源：每次改composer.json后都提交对应的composer.lock -
composer install --dry-run可模拟安装过程，提前告诉你是否要变更包版本，适合部署前快速确认 - 临时跳过某个包更新（比如正在调试兼容性）：Composer 2.2+ 支持
composer update --ignore=laravel/framework；旧版可用composer update vendor/a vendor/b，漏掉那个就行
最容易被忽略的一点：composer.lock 文件里的 content-hash 是 composer.json 内容的 SHA256，不是 lock 文件自身的哈希。这意味着哪怕你手动改了一行 JSON 的空格，hash 就变了，composer install --locked 就会失败——这不是 bug，是设计用来防止配置漂移的硬校验。
