composer.lock 必须提交到版本控制，它是依赖的确定性快照；缺失会导致 composer install 退化为 update，引发环境间版本不一致。
线上部署报版本错，大概率不是代码问题，而是 composer install 在不同环境装出了不同包——composer.lock 文件没提交、被忽略、或被意外修改，就会触发这个经典翻车现场。
为什么删了 composer.lock 就会出事
它不是可选的“缓存文件”，而是 Composer 的“确定性快照”：记录了每个依赖包精确到 commit hash 或具体版本号（比如 "monolog/monolog": "2.10.0"），连子依赖的版本都锁死。一旦缺失，composer install 会退化成 composer update 行为，按 composer.json 的版本约束重新解析依赖树——而 PHP 版本、平台配置、甚至 Packagist 镜像同步延迟，都会导致解析结果不一致。
- 本地 PHP 8.1 装出
doctrine/dbal 3.7.2，线上 PHP 8.0 可能降级到3.6.8（因高版本声明了php >= 8.1） -
"^2.0"在 lock 文件存在时永远装2.0.5；lock 缺失时可能装2.9.9，引发 API 兼容性断裂 - CI/CD 流水线若未校验 lock 文件是否更新，可能跳过
composer install直接跑测试，掩盖问题
composer install 和 composer update 必须分清场景
上线部署唯一合法命令是 composer install（且必须带 --no-dev 和 --optimize-autoloader）。它只读 lock 文件，不做任何版本决策。而 composer update 是开发期行为，仅用于主动升级依赖并生成新 lock。
- CI 构建阶段：用
composer install --no-dev --optimize-autoloader，确保和本地 lock 完全一致 - 线上服务器部署脚本：禁止出现
composer update，哪怕加了--with-dependencies也不行 - 本地开发想升级某个包？先
composer update vendor/package，再git add composer.lock，再提交——漏掉这步等于把不确定性推给线上
Git 忽略规则里别误伤 composer.lock
常见错误是把 composer.lock 写进了 .gitignore，或者项目模板（如 Laravel 官方 starter）早期版本默认忽略了它。只要项目有明确依赖关系，就必须纳入版本控制。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 检查：
git check-ignore -v composer.lock，如果输出路径，说明被 ignore 了 - 修复：
echo '!composer.lock' >> .gitignore，然后git add -f composer.lock - 团队协作时，建议在
README.md显式写一句：“composer.lock必须随每次依赖变更提交”
CI/CD 中验证 lock 文件是否过期
光靠人肉提交不可靠。可在 CI 流程里加一道检查：运行 composer update --dry-run，如果输出“Nothing to install or update”，说明 lock 和 json 一致；否则意味着有人改了 composer.json 却没提交新 lock。
if ! composer update --dry-run --quiet; then echo "ERROR: composer.json changed but composer.lock not updated" exit 1 fi
这步能卡住“改了 require 却忘了 git add composer.lock”的低级失误，比线上炸锅后再查日志快得多。
真正麻烦的不是 lock 文件本身，而是团队对“谁负责更新它、何时更新、如何验证”的模糊共识——一个没被 git add 的 lock，比一百个 bug 更难定位。
