Composer没有自动更新composer.lock的机制，必须手动触发：改composer.json非依赖字段用composer update --lock-only（2.2+）同步哈希与元数据；修复lock格式或校验用composer update --lock；CI中应先检查lock是否存在再选择对应命令，避免误升级或构建失败。
想让 composer.lock 自动更新，其实是个伪命题——Composer 没有“自动更新锁文件”的机制，所有变更都必须由明确命令触发。你真正需要的，是根据修改类型选对命令，避免误升级、误重写或 CI 失败。
改了 composer.json 但没动依赖，只同步哈希和元数据
比如加了 description、调了 config.platform.php、改了空格或注释，composer install 会报错 “Lock file is not up to date”，但你并不想升级任何包。
-
composer update --lock-only是唯一安全解法（仅 Composer 2.2+ 支持）：它读取当前composer.json全部内容，验证已安装包是否仍满足约束，仅重写content-hash、字段顺序、JSON 格式和平台元数据，完全不动vendor/ - 执行前务必加
--dry-run：运行composer update --dry-run --lock-only，如果输出只有Would update lock file和哈希变更，说明没问题；若出现大量包版本变动，说明你的composer.json约束已和当前vendor/不兼容 - 旧版 Composer 不支持该参数，要么升级工具，要么接受
composer update带来的全量重算风险
没改 composer.json，只想刷新 composer.lock 格式或校验和
常见于 Git 合并冲突后手动修复、团队锁文件缩进不一致、或 CI 中需确保 lock 结构合法。
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
-
composer update --lock就是为此设计：它忽略composer.json的任何改动，只对当前vendor/目录做快照，重新计算每个包的dist.sha256、源地址、依赖树结构，并标准化写回composer.lock - 它不联网、不查 Packagist、不校验包是否真满足
composer.json约束——前提是vendor/必须完整且可解析；如果缺包或损坏，命令会失败 - 这个命令不会响应你在
composer.json里新加的包声明，也不会修正版本不一致警告，所以不能替代--lock-only
CI 流水线中如何可靠保鲜 composer.lock
很多构建失败就卡在 lock 文件缺失、格式非法或 platform 不匹配，但又不想每次跑全量 update。
- 先检查
composer.lock是否存在：缺失时用composer update --lock（需确保vendor/已由上一步安装好）；存在则用composer update --lock-only --dry-run预检一致性 - 若检测到
composer.json和composer.lock的content-hash不匹配，直接 fail 构建，强制开发者先本地运行composer update --lock-only - 避免在 CI 中用
composer install后再补update：install 本不该改 lock，一旦变了，说明环境不干净或命令被误用
最常被忽略的一点：composer update --lock 和 composer update --lock-only 虽然名字像，但行为相反——前者不看 composer.json，后者专为它服务。选错一个，轻则 CI 提交一堆无关格式变更，重则线上依赖悄悄漂移。
