根本原因是vendor/bin脚本权限处理及ext-*扩展可用性差异导致依赖解析路径不同，须通过config.platform显式声明目标环境PHP版本与扩展以统一解析。
composer.lock 文件为什么会在 Windows 和 Linux 上产生差异
根本原因不是平台本身，而是 Composer 默认启用的 vendor/bin 脚本可执行权限处理方式不同：Linux/macOS 会记录并写入 0755 权限位，Windows 则忽略或归零。这会导致 git diff 显示大量无关的权限变更（如 mode change 100644 => 100755），干扰真实依赖变更审查。
更隐蔽的问题是：某些包在不同平台下安装时，会因 ext-* 扩展可用性差异（如 ext-sodium、ext-openssl）触发不同的依赖解析路径，导致 composer.lock 中记录的子依赖树不一致 —— 即使 composer.json 完全相同。
- Windows 上缺失
ext-gd或ext-mbstring，可能让 Composer 回退到纯 PHP 实现的替代包（如symfony/polyfill-*），而 Linux 下直接使用扩展原生能力 -
platform配置未显式声明时，Composer 会读取当前运行环境的 PHP 版本和扩展列表，造成 lock 文件“绑定”到开发机环境 - Docker 构建中若未固定基础镜像的 PHP 小版本（如
php:8.2-clivsphp:8.2.15-cli），也可能影响扩展加载状态
用 platform 配置强制统一解析上下文
在 composer.json 的 config 段显式声明目标部署平台，让所有环境（包括 CI、本地 Windows、Mac 开发机）都按同一套 PHP/扩展约束解析依赖：
{
"config": {
"platform": {
"php": "8.2.18",
"ext-gd": "1",
"ext-mbstring": "1",
"ext-openssl": "1",
"ext-json": "1"
}
}
}
这样做的效果是：无论你在 Windows 上用 PHP 8.3 运行 composer update，只要 platform 设为 "php": "8.2.18"，Composer 就只考虑该版本支持的包版本范围，并跳过需要更高 PHP 版本的功能特性。
- 必须包含所有生产环境实际启用的扩展，哪怕本地没装 —— 否则
composer install在服务器上可能因扩展缺失而失败 - PHP 版本建议精确到小版本（如
8.2.18），避免因^8.2解析出不同 patch 版本导致行为差异 - 不要写
"ext-xyz": "0"表示“禁用”，Composer 不识别 falsey 值；要么不写，要么删掉整行
CI/CD 中验证 lock 文件跨平台一致性
光靠本地生成 lock 文件不够，必须在 CI 流水线中用目标平台环境重新生成并比对 —— 这是唯一能提前暴露问题的方式。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
例如在 GitHub Actions 中，同时跑 Linux 和 Windows job，都执行：
composer install --no-dev --dry-run
如果两个平台输出的依赖安装计划（包名+版本+哈希）完全一致，说明 lock 文件真正跨平台可用；若有差异，说明 platform 配置漏项或存在隐式平台依赖。
-
--dry-run不真正安装，只模拟解析过程，速度快且安全 - 不要只跑
composer install看是否成功 —— 成功不代表依赖树一致，可能只是凑巧没踩到冲突点 - 若 Windows job 报错
Your requirements could not be resolved，大概率是platform里漏写了某个 Windows 下默认不启用但生产环境必需的扩展
vendor 目录不提交时，lock 文件仍是唯一可信源
很多人误以为只要不提交 vendor/，就不用太care lock 文件细节 —— 实际恰恰相反。没有 vendor/，composer.lock 就是重建整个依赖树的唯一输入。任何平台相关偏差都会被放大。
尤其注意：composer.lock 中的 content-hash 字段是基于 composer.json 内容计算的，但 packages 和 packages-dev 里的每个条目都包含平台相关的 dist 信息（如 shasum、url、reference）。这些字段一旦因平台差异而不同，就会导致不同机器上 composer install 下载不同二进制包，甚至校验失败。
所以，与其事后调试“为什么线上 autoload 失败”，不如把 composer.lock 当作和 composer.json 同等重要的源码文件来对待 —— 它的每一行，都可能决定部署是否成功。
