composer install 本身无法保证微服务间 SDK 版本同步，真正起作用的是 composer.lock + 统一配置 + 部署约束三者叠加；必须强制共用同一份带 platform 约束的 lock 文件、全局统一镜像源、生产启用 --no-dev 和 classmap-authoritative。
直接用 composer install 本身无法保证微服务间 SDK 库版本同步——它只管当前项目，不跨项目、不校验一致性。真正起作用的是 composer.lock + 统一配置 + 部署约束三者叠加。
为什么 composer install 在微服务里“装得对”但“不一致”
每个微服务单独运行 composer install，哪怕都用了同一份 composer.json，只要 composer.lock 不同步或未提交，实际装出来的 SDK 版本就可能错位。常见现象包括：
- Service A 的
vendor/acme/sdk是 v2.3.1，Service B 装出来却是 v2.3.0（因为 lock 文件没一起提交） - CI 构建时拉的是旧 commit，
composer.lock没更新，结果上线后调用失败：Class not found 或 Method not exists - 本地
composer update acme/sdk后忘了git add composer.lock，团队其他人composer install还在用旧版
必须强制所有服务共用同一份 composer.lock（且带 platform 约束）
composer.lock 是唯一能锁定嵌套依赖树的文件，但它默认不防 PHP 平台差异。微服务常跨不同部署环境（PHP 8.1 / 8.2），光靠 lock 文件不够。
-
config.platform必须写死到小版本，例如"php": "8.1.10"，不能写"^8.1"或"8.1"——否则 Composer 会按当前运行环境解析，导致不同机器装出不同依赖 -
config.platform必须放在composer.json的根级config对象下，不能塞进extra或拼错成platform.php - 改完
config.platform后，必须删掉vendor/和composer.lock，再跑composer install——旧 lock 文件不会自动重算平台约束 - 所有微服务仓库的
composer.lock应该由同一个 CI 流水线生成并提交，而不是各服务各自update
镜像源配置必须全局统一，且绕过 repositories 列表
微服务项目里常在 composer.json 的 repositories 字段硬编码阿里云镜像，但这在 Composer 3.x+ 完全无效——元数据请求（如 provider-laravel~10.0.json）根本不会走这个列表。
- 正确做法是统一执行：
composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/（注意末尾必须有/） - CI 中禁用
-g写法，改用显式路径：export COMPOSER_HOME="/tmp/composer" && composer config -g repo.packagist composer https://mirrors.aliyun.com/composer/ - 验证是否生效：
composer install -vvv 2>&1 | grep "mirrors.aliyun.com"，看到下载域名才算成功 - 别手写
~/.composer/config.json——容易格式错误、覆盖 auth 凭据、权限异常
生产部署必须用 --no-dev + classmap-authoritative
微服务上线时若漏掉 --no-dev，vendor/ 里会混入 phpunit、phpstan 等 dev 包，不仅增大镜像体积，还可能因 autoload 规则冲突导致 Class not found。
- 必须用：
composer install --no-dev --optimize-autoloader --classmap-authoritative --no-interaction -
--no-dev只跳过安装，不跳过解析——如果composer.lock里存着旧 dev 包记录，仍可能引发主依赖降级；上线前应先跑composer update --no-dev -o刷新 lock - 检查 lock 是否干净：
grep -q '"require-dev"' composer.lock && echo "warning: dev section exists" - Docker 构建时，
COPY composer.json composer.lock ./后立刻执行 install，中间不能穿插其他 composer 命令
微服务间的 SDK 同步不是靠命令本身，而是靠 lock 文件的物理一致性、platform 的精确声明、镜像源的全局覆盖这三点咬合。少一个，composer install 就只是个本地操作，不是协同动作。
