composer.lock不会随镜像更新自动变化，换阿里云或腾讯云镜像源仅改变下载通道，不修改lock文件内容；真正需处理的是composer.json与composer.lock的语义一致性，改非依赖字段后应使用composer update --lock-only（Composer 2.2+）重算hash并标准化格式，不升级包、不改动vendor。
composer.lock 不会随镜像更新自动变化
换阿里云或腾讯云镜像源（如composer config --global repo.packagist composer https://mirrors.aliyun.com/composer/）只改下载通道，不碰composer.lock内容。lock 文件里记录的是原始 dist URL 和 SHA256 校验和，不是镜像地址。你换完镜像后跑composer install，Composer 仍按 lock 里的 dist.url 去请求——如果镜像没代理该地址，就会 fallback 到官方源甚至失败。
所以不存在“镜像更新后同步 lock”的操作。真正要处理的，永远是composer.json和composer.lock之间的语义一致性。
改了 composer.json 但不想升级包？用 composer update --lock-only
你在composer.json里加了description、调了缩进、改了空格，composer install就报Lock file is not up to date——这不是 bug，是content-hash校验失败。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer update --lock-only（要求 Composer 2.2+）是唯一安全解法：它重算 hash、标准化字段顺序和格式，不碰vendor/，不联网，不升级任何包 - 旧版本别凑合删 lock + install，先升级 Composer 再用这个命令
- 执行前建议加
--dry-run：如果输出显示大量包将变更，说明你改的不只是元信息，得人工评估是否真要升级
换镜像后 vendor/ 必须清空重装
镜像切换不改变 lock 内容，但会改变下载路径、缓存行为和vendor/产物结构。混用会导致 autoload 失效、符号链接 dangling、扩展编译产物错位。
- 每次换镜像后，必须运行
rm -rf vendor composer.lock，再composer install - Docker 构建中用多阶段：builder 阶段用完整镜像源 +
--no-dev --optimize-autoloader，final 阶段只 COPY vendor/ 和代码 - CI 脚本加防护：
composer config --list | grep repositories输出不匹配预期镜像 URL 就 abort
Git 是 lock 文件纯净性的唯一守门人
composer.lock的“纯净”不靠文件权限或 Composer 配置，而靠 Git 状态和协作流程。
- 别用
chmod 444 composer.lock——Composer 运行时需要写权限，只读直接报Permission denied - 用
git update-index --assume-unchanged composer.lock防止误提交；它不干扰 install，只让 Git 忽略本地改动 - 每次合入新功能前，先
git checkout main && git pull，确保 lock 来自可信分支，而不是某次本地update的产物 -
git status --porcelain composer.lock非空就中断部署流程——这是最硬的校验
最难防的不是镜像，而是人：改composer.json后忘了刷新 lock，或者把 lock 文件漏提交又强行 merge。这些操作不会立刻报错，但会在某个深夜的 CI 构建里突然炸开。
