直接比对 composer.lock 文件最可靠，因其精确记录版本、哈希、源 URL 和依赖关系；需备份后用 diff -u 比较，聚焦 name/version/dist 行，并确保包含 packages-dev 区块。
直接用 diff 对比 composer.lock 文件最可靠
想看清 composer update 到底改了哪些包，别依赖 composer show 或树状输出——它们不反映 lock 文件真实变更。核心是比对更新前后的 composer.lock，而 diff -u 是最轻量、最可控的方式。
操作前先备份原 lock：cp composer.lock composer.lock.bak；更新后再运行：diff -u composer.lock.bak composer.lock
- 只关注带
"name"、"version"、"source"或"dist"的行，其他字段（如"time"、"type"）变动多数无关紧要 - 避免用
diff直接比composer.json和composer.lock：前者是版本范围声明，后者是实际安装快照，语义不同，对比无意义 - 如果终端输出太长，加
| grep "^\([+-]\|\"name\"\|\"version\"\)"过滤关键行，但注意不要漏掉-开头的删除项
composer status 显示 modified 但看不出改了什么？
composer status 标记 modified 意味着 vendor/ 下某个包的文件内容与 composer.lock 记录的原始压缩包哈希不一致——不是版本变了，是代码被你或别人动过了。
它本身不提供 diff 内容，composer status -v 只能告诉你哪个包、改了几行，比如：monolog/monolog modified (1 file)
- 进对应目录：
cd vendor/monolog/monolog，再执行git status（仅当该包含.git子模块时有效，多数 packagist 包不带） - 更通用的办法：从
composer.lock中查"monolog/monolog"下"dist": {"shasum": "abc123..."}，然后手动解压缓存包对比：diff -r . ~/.composer/cache/files/monolog/monolog/abc123...zip.extracted/ - 注意：这个缓存路径在 Windows 或自定义 Composer home 下会不同，
composer config --global cache-dir可确认实际位置
为什么不用 composer show --locked 做 diff？
composer show --locked 输出受终端宽度和内部排序逻辑影响，两次执行结果可能字母序不同、嵌套深度优先级不一致，导致 diff 误报大量“变化”，实际没动任何依赖。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
真正需要可比对的文本表示，得强制结构化输出：
- 导出 JSON 并标准化格式：
composer show --locked --format=json | jq -S > lock.json，再diff两个lock.json - 但更简单的是跳过中间格式——直接比
composer.lock原始文件，它本身就是规范化的 JSON，且字段顺序固定（Composer 2.x 起保证 key 顺序） - 如果必须用
show，至少加--no-ansi和固定COLUMNS=1000减少干扰，但依然不如直接比 lock 文件稳定
要不要用 composer-lock-diff 这类第三方工具？
可以，但得清楚它解决什么问题：clue/composer-lock-diff 或 ion-bazan/composer-diff 主要是把 diff 结果按“新增/删除/升级/降级”归类，并高亮语义变化（比如从 ^2.0 升到 ^3.0），不是技术上不可替代。
它们本质仍是读取两个 composer.lock，解析后做结构对比，最后渲染成易读文本。
- 优点：一眼看出 breaking change，适合给非技术人员同步变更；支持 Git 集成（如
composer-lock-diff HEAD~1 composer.lock） - 缺点：多一层依赖，版本兼容性需留意（例如某些插件不支持 Composer 2.7+ 的新字段）；错误提示不如原生
diff直观 - 建议：CI 流程里用它生成 changelog，本地调试时仍以
diff -u为准——毕竟你得知道它底层到底比了哪几行
真正容易被忽略的是：lock 文件里的 "packages-dev" 区块是否也被纳入对比。很多团队只关注生产依赖，却忘了开发依赖（如 phpunit、phpstan）的变更同样可能破坏 CI 流程。比对前务必确认两个 lock 文件都包含完整 dev 包信息，否则 diff 会漏掉关键差异。
