composer.lock是线上环境不报错的底线，90%问题源于改了composer.json却未提交新lock；用composer validate可区分过期（lock未同步）或损坏（JSON非法），过期应执行composer update --lock安全同步，损坏则需先备份再重建。
composer.lock 文件不是可选日志，它是线上环境不报错的底线。一旦出问题，90% 是因为开发改了 composer.json 却没提交新 composer.lock，而不是文件真坏了。
怎么判断 lock 是“过期”还是“损坏”
别猜，先跑 composer validate：
- 只输出
./composer.json is valid，没提composer.lock→ 文件被.gitignore忽略或根本不存在 - 报
./composer.lock is invalid并带 JSON 行号 → 真损坏（比如编辑器乱码保存、Git 换行符冲突） - 报
The lock file is not up to date with the latest changes in composer.json→ 过期，composer.json被改过但没同步 lock
注意：composer install 报 Your lock file does not contain a compatible set of packages，说明两者内容对不上，不是 lock 坏了，是同步断了。
过期 lock 怎么安全同步
目标是让 composer.lock 匹配当前 composer.json，又不升级任何包——用 composer update --lock（Composer 2.2+）：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 它只重写 lock 文件，不碰
vendor/，不查远程包，不改变任何已安装版本 - 适合：加了个新 dev 包、删了某个 require、改了 PHP platform 字段
- 执行后务必
git diff composer.lock确认变更合理——错误的 lock 提交比不提交更危险 - 如果本地
composer.json是刚git pull来的，优先git checkout -- composer.lock拉回最新 lock，再composer install
损坏 lock 或彻底丢失怎么办
损坏 ≠ 过期。损坏必须重建，但不能直接删 lock 就跑 composer install——那会报错并拒绝执行：
- 先备份：比如
cp composer.lock composer.lock.bak - 若确认
composer.json无未提交修改，且当前vendor/可信，运行rm composer.lock && composer update --lock - 若
vendor/也损坏或不可信，再加一步：rm -rf vendor，然后composer install（此时必须有合法 lock） - 绝对不要
rm composer.lock && composer install：Composer 会直接报Lock file does not contain required package并退出
CI 流水线里出现这类报错，本质是流程漏洞：要么开发漏提交 lock，要么 .gitignore 错误屏蔽了它。临时在 CI 里跑 composer update 等于埋雷，不同时间构建可能装出完全不同的依赖树。
为什么不能手动改 composer.lock
composer.lock 不是配置文件，是带哈希、子依赖树、content-hash 的完整快照。手动改一个版本号，却没同步更新它的 dist.shasum、require 列表、甚至 JSON 缩进，就会导致：
-
composer install报Invalid argument supplied for foreach()（实际是 JSON 解析失败） - 本地能跑，CI 构建失败（CI 校验更严格）
- 别人
composer install后装出的子依赖和你完全不同
真正安全的重写方式只有 composer update --lock。它由 Composer 内部求解器生成，保证结构合法、哈希一致、依赖树完整。手改 lock，等于绕过所有校验，把不确定性直接塞进生产环境。
