生产环境升级必须用composer install而非update，因其严格按composer.lock还原精确版本、哈希与依赖树，确保可复现；update会重算依赖、忽略锁文件，引入未经验证变更。
生产环境升级不是“跑一条 composer update”就能完事的事——它必须绕过锁文件破坏、避免 autoload 失效、防止类名变更引发 Fatal error，同时还要留出回滚路径。真正无痛的平滑升级，核心是「分阶段验证 + 版本锚定 + 运行时兼容」三者缺一不可。
为什么 composer install 是生产部署唯一合法入口
所有生产环境升级动作，最终落地必须靠 composer install，而不是 composer update。后者会重算依赖树、忽略 composer.lock、引入未经验证的 patch 版本，哪怕只是 monolog/monolog 从 2.10.0 升到 2.10.1，也可能触发日志格式变更或上下文序列化 bug。
-
composer install严格按composer.lock中记录的哈希、子依赖版本、evenext-json扩展要求还原环境，这是唯一可复现的契约 - CI 流水线第一步必须检查
ls -la composer.lock，确认文件存在且时间戳晚于composer.json修改时间 - 部署命令固定为：
COMPOSER_DEV_MODE=0 composer install --no-dev --no-interaction --no-progress --optimize-autoloader - 禁止在生产机上保留
composer可执行文件；若需紧急修复，应通过预构建镜像或 vendor 目录打包下发
升级前如何精准锁定变更范围（不碰全量）
盲目 composer update 是最常见事故源头。真正可控的升级，永远从最小粒度开始：只动明确要升的那个包，及其直系依赖，其他全部冻结。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 先用
composer prohibits vendor/package查清阻塞点——比如想升yiisoft/yii2，但输出显示your/project v2.0.45 requires monolog/monolog ^1.25，那就得先处理 monolog 约束 - 放宽目标包版本约束后，用
composer update vendor/package --with vendor/other-package:1.5.3显式指定关联依赖版本，避免 Composer 自行选择不兼容组合 - 升级后立刻检查
composer.lock中该包的content-hash和dist shasum是否更新，这是生效的唯一证据，composer.json里的版本号只是声明，不具实际效力 - 对 Yii2 这类框架，必须同步升级配套插件如
yiisoft/yii2-composer，否则autoload_psr4映射会漏掉新类路径
如何应对类名变更、接口废弃等运行时断裂
大版本升级（如 Symfony 5 → 6、Yii2 → Yii3 过渡期）最危险的不是安装失败，而是启动后报 Class not found 或 Call to undefined method。这类问题不会在 composer install 阶段暴露，必须前置拦截。
- 升级前用
composer audit扫描已知 CVE，但更要跑php -l检查所有入口文件，再用phpstan analyse --level=8（或psalm）扫描潜在调用断裂 - 对已知废弃类（如
yii\base\Object），不能只靠全局搜索替换——要检查第三方扩展是否硬编码继承它；可用grep -r "extends Object" vendor/快速定位 - 启用
"classmap-authoritative": true后，必须确保所有运行时用到的类（包括autoload-dev下的测试工具类）都已被composer dump-autoload -a收录，否则Class not found不会提示具体路径，只报致命错误 - 上线前冒烟测试必须覆盖：路由解析、数据库连接、核心服务实例化、关键中间件（如 auth、cors）、以及任意一个使用了被升级包的业务逻辑分支
平滑升级真正的复杂点不在命令怎么敲，而在于你能否把「变更影响面」从模糊的“可能有问题”压缩到确定的几个文件、几行代码、一个配置项。每一次升级，本质是一次小规模重构的验证闭环——锁版本、改约束、测兼容、灰度、回滚预案，缺一不可。漏掉任何一环，所谓“无痛”就只剩自我安慰。
