composer install 不生成 lock 文件，仅读取并安装；composer update 会重新解析依赖并生成或覆盖 composer.lock；composer update --lock 则只刷新 lock 文件结构，不重装包。
composer install 和 composer update 会生成或更新 composer.lock 吗？
会，但行为完全不同：composer install 读取现有 composer.lock 安装精确版本；composer update 重新解析依赖并生成/覆盖 composer.lock。导出“完整版本锁定清单”的本质就是确保 composer.lock 存在且最新——它本身就是标准的、可复现的锁定文件。
常见错误是运行 composer install 后发现没有 composer.lock，那说明项目原本就没提交过该文件，或者你本地删了它。此时必须用 composer update 生成，而不是靠 install “导出”。
- 如果
composer.lock已存在且想确认它反映当前composer.json的全部依赖（含子依赖），运行composer update --lock—— 它只刷新 lock 文件，不重装包 - 如果想强制重新计算并锁定所有依赖（包括 dev 依赖），用
composer update --no-dev或composer update，取决于是否需要开发依赖 -
composer install --dry-run不生成 lock，仅模拟安装，不能用于导出
如何验证 composer.lock 是否包含完整依赖树？
composer.lock 默认就包含根依赖 + 所有递归依赖的精确版本、校验和、源类型（dist/git）和自动加载映射，无需额外命令“展开”或“导出”。它的 JSON 结构中 packages 是运行时依赖，packages-dev 是开发依赖（若存在）。
容易被忽略的是：某些私有仓库或 VCS 包可能因配置缺失导致 lock 文件里缺少 source 字段，影响离线安装。检查方法：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 打开
composer.lock，搜索"source"，确认每个包都有"type": "git"或"type": "zip"及对应"url"和"reference" - 运行
composer show --tree对比输出与 lock 中列出的包是否一致（注意 dev 依赖需加-d参数） - 若使用
platform-check或自定义config.platform，lock 文件中的platform字段必须匹配目标环境，否则部署时可能跳过某些包
导出为其他格式（如 CSV、JSON 简化版）有用吗？
没用，还容易出错。composer.lock 是唯一权威锁定文件，CI/CD、Docker 构建、生产部署都直接读它。所谓“导出为 CSV”只是把部分字段拉平，丢失哈希校验、嵌套依赖关系、autoload 配置等关键信息。
真有审计或分析需求，应基于 lock 文件解析，而不是另存为别名格式：
- 用
composer show -D查看依赖图（含版本冲突提示），但不输出 lock 内容 - 用 PHP 脚本或 jq 解析
composer.lock，例如：jq '.packages[] | select(.name == "monolog/monolog") | .version' composer.lock - 第三方工具如
roave/security-advisories或composer-unused也是直接读 lock，而非依赖导出结果
为什么 composer.lock 提交到 Git 却仍出现版本不一致？
根本原因不是 lock 文件没导出，而是它没被正确使用或被意外绕过。典型场景：
- CI 环境执行了
composer install --no-lock，强制忽略 lock 文件，退回到composer.json解析逻辑 - Git 忽略了
composer.lock（.gitignore 里写了它），导致别人 clone 后只能update，版本漂移 - 团队成员用了不同版本的 Composer（如 2.2 vs 2.5），lock 文件格式微变，低版本 Composer 读取时报错
Composer could not find a composer.json file（实际是格式不兼容） - PHP 版本差异触发 platform config 行为变化，比如 lock 中记录了
"php": "^8.1"，但在 PHP 7.4 环境下install会跳过部分包
真正要盯住的，从来不是“怎么导出”，而是 lock 文件是否被生成、提交、且每次安装都严格遵循它。任何试图绕过它的操作，都在破坏可重现性本身。
