Composer install 安装子依赖版本不一致，是因为它依据根 composer.json 约束和 composer.lock 锁定版本共同解析；未提交 lock 文件或使用不同 Composer 版本会导致间接依赖如 monolog/monolog 解析出不兼容新版，引发 CI 失败。
为什么 composer install 会装出不同版本的子依赖？
因为 Composer 不直接锁定子依赖（即包所依赖的其他包），而是根据根 composer.json 中声明的约束 + composer.lock 中记录的精确版本共同决定。一旦你没提交 composer.lock，或别人用不同版本的 Composer 安装，monolog/monolog 这类间接依赖就可能被解析成不兼容的新版。
常见现象：本地运行正常，CI 构建失败，报 Class not found 或 Method not exists —— 很大概率是某个子依赖悄悄升级了。
-
composer install严格按composer.lock安装；composer update才会重新解析并更新锁文件 - 团队必须提交
composer.lock，且禁止手动编辑它 - 如果想固定某子依赖版本，不能在根
composer.json里写"monolog/monolog": "^2.0"（这属于“提升为直连依赖”），而应通过replace或conflict干预解析逻辑（见下一条）
如何阻止某个包加载特定子依赖版本？
用 conflict 最直接。比如你发现 guzzlehttp/guzzle 的 7.5.0 有内存泄漏，但依赖它的 aws/aws-sdk-php 又没限制上限，这时可在根 composer.json 加：
"conflict": {
"guzzlehttp/guzzle": "7.5.0"
}
Composer 解析时会跳过该版本，回退到 7.4.5 或升到 7.6.0（如果后者已修复）。比改 require 更安全，不破坏原有依赖图。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
conflict不影响安装，只在解析阶段排除组合；replace则会彻底隐藏被替换包（慎用） - 别滥用
provide模拟包存在，容易导致运行时类找不到 - 检查冲突是否生效：运行
composer prohibits guzzlehttp/guzzle:7.5.0
私有包里写了 require，为什么项目里装不上？
因为 Composer 默认只认 Packagist 上的公开包。如果你的私有包 myorg/utils 在 composer.json 声明了 "nesbot/carbon": "^2.60"，但项目没配对应仓库源，Composer 就会报 Could not find package nesbot/carbon —— 注意，错误指向的是子依赖，不是你的私有包。
- 必须确保所有间接依赖都可通过已配置的仓库获取（包括 Packagist、私有 Satis / Toran / GitHub Packages）
- 用
composer config --list确认repositories是否生效；私有仓库需带type: "composer"和有效url - 调试技巧：运行
composer show nesbot/carbon，看是否能查到；若不行，说明源没配对，和你的私有包无关
更新一个包时，怎么知道会影响哪些子依赖？
靠 composer depends 和 composer why-not。比如你想升 symfony/console 到 6.2，但不确定 doctrine/doctrine-bundle 是否兼容：
composer why-not symfony/console:6.2
它会输出阻塞原因，例如：doctrine/doctrine-bundle 2.7.0 requires symfony/console ^5.4 || ^6.0 → 实际允许 6.2；但如果显示 laravel/framework 9.0 requires symfony/console ^6.0.0，就得再查 Laravel 文档确认边界。
-
composer depends --tree myorg/utils能展开整个依赖树，看清谁在拉你的包、带了什么子依赖 - 升级前先跑
composer update --dry-run，观察锁文件变动范围 - 子依赖的兼容性往往藏在上游包的
composer.json里，而不是文档中，必须查源码级约束
psr/log，又没人敢动 composer.lock 时，得一层层翻 vendor/composer/installed.json 手动比对。 
