“Lock file is not up to date”是因composer.json与composer.lock语义不一致，需按意图选命令：仅对齐元信息用composer update --lock-only，更新依赖用composer update，复现环境用composer install。
镜像源切换不影响 composer.lock 内容，别指望它自动同步
换阿里云或腾讯云镜像源（如 composer config --global repo.packagist composer https://mirrors.aliyun.com/composer/）只是改了下载加速通道，composer.lock 里记录的仍是原始 dist URL 和 SHA256 校验和。你换完镜像后跑 composer install，Composer 仍会按 lock 文件里的 dist.url 去请求，比如 "https://api.github.com/repos/guzzle/guzzle/zipball/7.8.1" —— 镜像不透明代理的话，这一步照样失败。
所以，“镜像更新后同步 lock”这个动作本身是伪命题：镜像不参与 lock 文件生成逻辑，也不影响其内容一致性。真正要同步的，永远是 composer.json 和 composer.lock 之间的语义对齐，而不是“镜像变了，lock 得跟着变”。
composer install 报 “Lock file is not up to date” 怎么办
这是最常见误判场景：你以为是镜像没配好，其实是 composer.json 被改了但 composer.lock 没更新。典型表现包括：
- Git 合并后只拉了
composer.json变更，漏掉composer.lock - 编辑器保存时多加空行或缩进变化，导致
content-hash不匹配 - 有人提交了
composer.json但 .gitignore 里写了*lock*，lock 文件根本没进仓库
此时该做的不是换镜像、不是删 vendor、更不是直接 composer update，而是：
- 先确认意图：只想让 lock 对齐 json 的元信息（如 description、sort-packages），不升级任何包 → 运行
composer update --lock-only（Composer 2.2+） - 不确定改动范围 → 先
composer update --dry-run --lock-only，输出为Nothing to install or update才安全 - 如果
--dry-run显示大量包将变更，说明composer.json约束已和当前 vendor 不兼容，需人工评估是否接受升级
私有包或自定义源在 lock 中失效时怎么处理
composer.lock 里若含私有 GitLab 仓库、Satis 源或本地路径包，composer install 会严格按 lock 记录的 URL 拉取，但不会自动帮你配权限。常见报错：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
Cloning into ''...卡住 → 缺少 SSH key 或 HTTPS token -
401 Unauthorized→auth.json未配置对应 host 的 token -
Could not fetch https://xxx/private-package.zip→ 镜像源未代理该地址，且本地无缓存
解决方式不是改 lock，而是补凭据：
- 把 token 写进项目根目录的
auth.json（格式必须合法 JSON），内容类似：{"http-basic": {"gitlab.example.com": {"username": "token", "password": "xxx"}} - 确保该文件未被
.gitignore排除（敏感凭据应放~/.composer/auth.json） - 运行
composer install前，可用composer install --dry-run快速验证是否能解析所有源
PHP 版本或扩展变化后 lock 必须重写
composer.lock 顶部的 platform 字段（如 "php": "8.1.0"）不是注释，而是依赖解析时的虚拟环境声明。如果你本地 PHP 升级到 8.2，但 lock 里写的是 8.1，composer install 可能跳过某些包，甚至报 Your requirements could not be resolved。
这时不能硬扛，必须让 lock 反映真实平台：
- 先用
composer config platform.php 8.2.0临时覆盖（仅影响本次命令） - 再运行
composer update --lock-only，它会重写 lock 中的platform段 - 若项目需长期支持多 PHP 版本，应在
composer.json的config.platform里显式声明，而非依赖运行时检测
最容易被忽略的一点：即使你什么都没改，只要 composer.json 里 config.platform 和当前 PHP 实际版本不一致，composer install 就可能静默降级部分包——这不是 bug，是 Composer 按契约执行的保护机制。
