必须提交composer.lock、严格运行composer install、全局配置镜像源——三者缺一不可，否则install退化为隐式update导致依赖失控；精确锁定需写"2.11.0"而非"^2.11"，且PHP版本不匹配也会使lock失效。
生产环境依赖失控，不是包更新太快，而是你没真正锁住——composer.lock 没提交、composer install 没跑对、镜像源没全局生效，三者缺一就会退化成隐式 update。
为什么 composer install 不等于锁定？
命令返回 0 不代表锁住了。常见现象是部署完 vendor 缺类、运行时报 Class not found，但日志里没报错。
-
ls -l composer.lock输出为空或被.gitignore忽略了——没有 lock 文件，install就自动 fallback 到update -
composer install执行时出现Resolving dependencies日志——说明它正在重新算版本，根本没读 lock -
git status显示composer.lock已修改但未提交——团队成员拉代码后跑install，实际装的是各自本地解析出的版本
怎么让 composer.lock 真正起作用？
lock 文件不是“存在就行”，它得和命令、环境匹配才生效。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 改完
composer.json（比如加了个包）后，必须手动运行composer update vendor/package-name或composer update，再git add composer.lock提交——否则 lock 里没记录新包，部署时会直接失败 - CI/CD 构建脚本开头加一句
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/，避免缓存旧配置导致拉包超时或404 - 生产部署命令必须是
composer install --no-dev --no-scripts --no-autoloader --optimize-autoloader --no-interaction，别省参数——--no-scripts防止 ThinkPHP 的post-install清空runtime，--no-autoloader是为了后续单独dump-autoload -o控制时机
想锁死某个包不升级？只有一种写法
别靠 ^ 或 ~ 写 "monolog/monolog": "^2.11" 或 "monolog/monolog": "2.11.*" 都不算锁定，补丁更新照样进。
- 精确锁定只有一种写法：
"monolog/monolog": "2.11.0"——三位全写，不带任何符号，Composer 才认作exact version - 改完立刻运行
composer update monolog/monolog，否则composer.lock不会同步更新，等于白改 - 如果该包已装新版，想降级到旧版，用
composer require monolog/monolog:2.11.0（冒号后无空格、无v、无@），然后删掉vendor/monolog/monolog和composer.lock里对应条目再重装，避免缓存干扰
PHP 版本变了，lock 文件可能失效
Composer 2.0+ 默认校验 platform 字段，不是“能跑就行”，而是“版本必须匹配”。
- 当你升级 PHP 小版本（如从 8.1.27 到 8.1.28），某些扩展（如
ext-intl）行为微调，可能导致 lock 中记录的包无法安装 -
composer install会直接报错：Your lock file contains an unresolvable dependency或提示 platform mismatch - 此时不能硬删 lock 重装，应先确认
composer.json中"config": {"platform": {"php": "8.1.27"}}是否与当前环境一致；若需适配新 PHP，应composer update --with-all-dependencies并重新测试
多环境一致性真正的难点不在写法，而在流程咬合：lock 文件是否在 Git 历史里可追溯、CI 是否严格区分 install 与 update、生产机是否彻底禁用 Composer。漏掉任意一环，版本就漂移。
