composer.lock 与 composer.json 不同步时，必须用 composer update --lock 修复锁文件、composer update 安装新包、composer install 仅按锁安装；install 报“out of sync”是因 JSON 变更未同步到 lock，为防环境不一致而拒绝执行。
composer.lock 和 composer.json 不同步时，不能靠猜或跳过，必须明确走哪条路径：想不动依赖就修复锁文件，用 composer update --lock；想按 JSON 装新包，用 composer update；只想装 lock 里写的版本，用 composer install。选错命令，轻则 CI 失败，重则线上行为不一致。
为什么 composer install 会报 “Your lock file is out of sync”
这个警告不是提示“可以忽略”，而是 Composer 在告诉你：composer.json 有变更（比如加了新包、改了版本号、删了 require-dev），但 composer.lock 还没更新。它拒绝安装，是为了防止你本地跑通、线上炸锅。
- 常见诱因包括：别人 PR 合并了
composer.json变更，你没git pull就直接composer install - 编辑器自动保存时多按了一个回车，导致
composer.json出现空行或缩进变化，content-hash校验就失败 - CI 脚本里写了
composer install --no-lock，等于主动放弃一致性保障
composer update --lock 是什么，什么时候必须用它
这个命令只重写 composer.lock 文件结构，不升级、不降级、不增删任何包——它只是让锁文件“语义对齐”当前的 composer.json。团队协作中，这是合并前唯一该做的动作。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 适用场景：你刚
git pull拉到别人改过的composer.json，但 vendor 没动、也不打算更新依赖 - 运行后如果
git status显示只有composer.lock变更，说明环境干净；如果还看到composer.json被标为 modified，说明你本地还没同步完 - 别在 CI 里用它替代
composer install：它不装包，只写锁文件，后续步骤会因为 vendor 缺失而失败
遇到 Git 合并冲突，千万别手修 composer.lock
手动删空行、调字段顺序、合并 JSON 数组——这些操作看似合理，实则破坏 content-hash 和依赖树拓扑，后续 composer install 很可能报 Invalid argument supplied for foreach() 或静默装错子依赖版本。
- 正确做法：先确保
composer.json已无冲突（可用git checkout --theirs composer.json），然后删掉冲突的composer.lock - 再运行
composer update --lock，它会基于当前composer.json和已有的vendor/（如有）生成新锁文件 - 如果
vendor/已被清空（比如 rebase 中），改用composer install --no-interaction，前提是原composer.lock还能被正常解析
锁文件损坏或丢失，怎么安全重建
composer.lock 不是不可替代的配置文件，它是可重建的快照。但重建方式取决于你手头还剩什么。
- 如果
composer.json完好、vendor/也完整：直接composer update --lock，输出应为0 installs, 0 updates, 0 removals - 如果
vendor/损坏或缺失：先rm -rf vendor composer.lock，再composer install—— 它会按composer.json重新拉包并生成新锁文件 - 如果不确定是否该升级依赖：先跑
composer update --dry-run看它打算动哪些包，再决定要不要真执行composer update
真正容易被忽略的是：lock 文件只承诺“当时能跑”，不承诺“永远可用”。哪怕重建成功，也要确认 PHP 版本、扩展、ca-bundle 路径等平台约束是否仍满足——这些信息都藏在 lock 文件里，但不会在报错时直接告诉你。
