唯一可靠回滚方式是用 Git 恢复旧版 composer.lock 后删除 vendor 并执行 composer install；因 composer update --lock 仅重新锁定而非恢复，且新版 lock 格式、环境变更、autoloader 差异等均导致其不可靠。
直接删掉 vendor 和 composer.lock，再用旧版 composer.lock 重装，是唯一可靠回滚方式。靠 composer update --lock 或手动改 composer.json 几乎必然失败。
为什么 composer update --lock 不能真正回滚
这个命令只重新解析 composer.lock 里的哈希和版本号，不校验包内容是否匹配当前 lock 文件——如果 lock 文件本身已被新版 Composer 修改过格式（比如 v2.5+ 加入了 content-hash 新字段或签名结构），老版本依赖可能根本无法还原。更常见的是：你本地 composer.json 被动过、平台配置（PHP 版本、扩展）变了、甚至 packagist.org 的包元数据已更新，--lock 就会静默降级或跳过某些包，结果看似成功，实际依赖树已偏移。
无序列表呈现关键事实：
-
composer update --lock不读取历史 commit 中的 lock 文件，它只基于当前composer.json+ 当前 lock 文件“重新锁定”，不是“恢复锁定” - Composer v2.2 与 v2.5 生成的
composer.lock结构不兼容，强行混用会导致Root package requires a version of PHP that is not installed等误导性错误 - 即使 lock 文件没变，
vendor/里某些包的install-path或 autoloader 映射可能被新版 Composer 重写，导致运行时报Class not found
正确回滚三步操作（带 Git 前提）
前提是你的 composer.lock 一直提交进 Git，并且出问题前有可追溯的稳定 commit（比如上线前的 tag 或 merge commit）。没有这个前提，回滚就是盲人摸象。
操作流程：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 用
git checkout <stable-commit-hash> -- composer.lock拿回旧版 lock 文件（不要只复制内容，要保留换行符和末尾空行） - 删除整个
vendor/目录（rm -rf vendor），清空composer install的缓存干扰 - 运行
composer install（不是update！），它会严格按 lock 文件安装，包括 exact 版本、dist source、checksum 校验
注意：composer install 会检查当前 PHP 版本和扩展是否满足 lock 文件里记录的 platform 配置，如果环境变了，得先调 config platform.php 或临时改 lock 文件里的 platform 段——但这属于环境适配，不是回滚本身的问题。
没有 Git 历史？试试这些补救路径
如果 composer.lock 没提交，或者最近一次提交已经污染，优先查这些地方：
- CI/CD 流水线产物：Jenkins/Runner 的 artifacts 里常存有构建时生成的完整
vendor/和composer.lock，解压后可直接复用 -
composer show --installed输出还能看到部分已安装包的精确版本（但不含嵌套依赖版本和 dist URL），可辅助判断大致时间点 - 临时降级 Composer 自身：
composer self-update 2.2.22（最后一个 v2.2.x），再跑composer install，有时能绕过新版本引入的解析 bug
别碰 composer require xxx:1.2.3 这种方式“手动指定”——它会触发完整依赖求解，大概率拉入你不想要的新二级依赖，而且不会还原 autoload 规则变更。
最常被忽略的一点：回滚后务必运行 composer dump-autoload -o，尤其当项目用了 classmap 或 psr-4 动态映射；旧 lock 对应的 autoloader 可能和当前文件结构不一致，不刷新就会出现类存在却加载失败的情况。
