不能直接用composer install做分布式预发，因为其默认只校验lock文件中的dist hash而不验证源码完整性，导致不同机器构建的vendor内容可能不一致却无感知，埋下灰度发布一致性隐患。
为什么不能直接用 composer install 做分布式预发？
因为默认行为会读取 composer.lock 中的哈希校验，而不同机器上执行 composer install 时，若源码未完全一致（比如 dev 分支有临时 commit）、或镜像源缓存不一致，会导致 vendor/ 下包内容实际不同，但 lock 文件没变——这在灰度发布或多机部署时埋下一致性隐患。
- 典型现象：A 机构建后上线正常，B 机同样 tag 构建却报
Class not found，查发现vendor/autoload.php加载路径指向了旧版本的 PSR-4 映射 - 根本原因：
composer install不校验源码完整性，只比对 lock 中的 dist hash；而预发需确保「构建产物可复现」 - 解决方案不是禁用 lock，而是把依赖解析、下载、校验三步拆开，在可信环境预生成带完整校验信息的离线包
如何用 composer archive + 自定义脚本生成可验证预发包？
composer archive 本身不保留依赖关系元数据，不能直接用于预发。必须配合 composer show --format=json 和 composer install --no-scripts --no-autoloader 组合使用。
- 先在干净容器中运行：
composer install --no-scripts --no-autoloader --ignore-platform-reqs，确保只解包不触发任何钩子 - 再执行：
composer show --format=json --locked > dependencies.json，导出 lock 文件对应的实际安装版本与 source/dist 信息 - 最后打包：
tar -czf app-deps-20240615.tgz vendor/ dependencies.json composer.lock - 关键点：预发包必须包含
dependencies.json，它记录了每个包的真实 commit hash 或 dist reference，比 lock 更细粒度
CI 中怎么验证预发包在目标环境能正确还原？
不能只校验 tar 包 md5——要验证 vendor 目录内每个包是否与 dependencies.json 描述一致。推荐用轻量级校验脚本，不依赖 Composer 运行时。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 提取预发包后，用 Python 脚本遍历
dependencies.json，对每个包检查：vendor/{vendor}/{package}/.git/HEAD（source 模式）或vendor/{vendor}/{package}/composer/installers.json（dist 模式）是否存在预期值 - 若用 dist 模式，重点校验
dist.shasum字段是否匹配实际文件sha256sum vendor/{vendor}/{package}.zip - CI 阶段加一道 gate：
php -r "echo json_encode(get_headers('https://packagist.org/p/{vendor}/{package}.json')[0]);"确保所有包在 packagist 上仍可访问（防止私包误推 public 源）
中文镜像源（如阿里云、腾讯云）对预发包有什么隐性影响？
镜像源会改写 dist URL 和 shasum，但不会修改 lock 文件中的原始 hash。如果预发包是在镜像源下生成，而线上机器配置的是官方源，composer install 会因 hash 不匹配失败。
- 必须统一源配置：预发构建和线上部署使用完全相同的
composer config repo.packagist设置 - 推荐做法：在构建前注入环境变量
COMPOSER_REPO_PACKAGIST=https://mirrors.aliyun.com/composer/，而非修改全局 config - 私有包务必走
composer config repositories.xxx显式声明，避免被镜像源 fallback 到错误地址
预发机制真正的复杂点不在打包，而在「锁定源行为 + 锁定包来源 + 锁定校验维度」三者必须同步。漏掉任意一环，都会让预发变成“看起来一样，实际不一样”。
