根本原因是 composer.lock 未被当作依赖契约严格执行——它常被忽略、未提交或更新后未同步，导致不同机器执行 composer install 时因缺失或过期而回退到 composer.json 的模糊约束，引发版本不一致。
团队里 vendor 目录在不同机器上不一致，根本原因不是 Composer 坏了，而是 composer.lock 没被当契约用——它被忽略、没提交、或更新后没同步。
为什么 composer install 在不同机器装出不一样？
因为 composer install 默认只读 composer.lock，但这个文件可能根本不存在、被 .gitignore 误删、或内容已过期。一旦缺失或失效，Composer 就 fallback 到 composer.json 的模糊约束（比如 "^8.0"），结果 A 机装 8.2.1，B 机装 8.3.0，连 autoloader 生成路径都可能错位。
- 检查
git status是否显示composer.lock已跟踪且有变更 —— 如果没出现，说明它很可能被.gitignore屏蔽了 - 运行
composer install --dry-run，看输出是否含Lock file is not up to date with composer.json—— 这表示有人改了composer.json却没跑composer update提交新 lock - PHP 版本差异会导致
composer.lock中dist的shasum或url不同，尤其在跨平台（Linux/macOS/Windows）协作时
CI/CD 和生产环境必须用 composer install，禁用 composer update
composer update 是改依赖的命令，不是同步命令。它会重算整个依赖树、写新 composer.lock、并拉取满足约束的最新版本——哪怕只是小补丁，也可能引入未测的 BC break。
- CI 流水线第一行加
composer validate --strict，校验composer.json和composer.lock是否匹配 - 部署脚本中必须是
rm -rf vendor && composer install --no-dev --optimize-autoloader --no-interaction，三者缺一不可 - Dockerfile 中应把
composer.json和composer.lock单独COPY，再RUN composer install --no-dev，利用 layer 缓存提速 - 看到
composer update --no-dev出现在部署脚本里，立刻删掉——它和--no-dev无关，本质仍是update
多人协作时 composer.lock 怎么维护才不出错？
它不是“生成一次就扔”的快照，而是团队共同签署的依赖契约。谁改、怎么改、何时提交，必须有明确规则。
立即学习“PHP免费学习笔记（深入）”；
- 新增/删包必须走 PR：改
composer.json→ 本地运行composer update vendor/package-name（精确到包）→ 检查 Git diff 中composer.lock变更是否仅限该包及其子依赖 → 提交两个文件 - 禁止直接运行全局
composer update；如需批量刷新，先composer update --dry-run预览，确认无 major 升级再执行 - 指定 Tech Lead 或 Infra 成员为
composer update唯一执行人，其他人一律只用composer install - CI 加一道检查：
composer install --dry-run，失败则中断，防止有人跳过流程直接 push
离线或 air-gapped 环境怎么确保依赖可复现？
离线环境不靠“怎么装”，而靠“提前锁死所有元数据”。只传 composer.lock 不够，必须带完整 vendor/ 或预下载 dist 包。
- 有网机器上执行
composer update --with-all-dependencies --lock，确保每个dist条目都有url和shasum - 禁用 packagist 回退：在
composer.json显式声明"repositories": [{"type": "composer", "url": "https://packagist.org"}] - 打包交付物 =
composer.lock+vendor/（或composer install --no-dev后的精简版）+autoload.php可 require 验证脚本 - 目标机 PHP 版本/扩展不一致？用
composer install --ignore-platform-reqs绕过检查，但前提是已确认运行时兼容性
真正难的不是命令怎么敲，而是让所有人理解：composer.lock 是合约，composer install 是履约动作，而 composer update 是修约行为——签完字再改条款，得全体同意，不能一个人偷偷重签。
