composer install装了新包是因为本地composer.lock已非目标版本，未真正按锁文件还原；需先恢复干净lock、清空vendor，再执行install。
composer install 为什么装了新包？你根本没在用旧 lock 文件
它没出错，是你本地 composer.lock 已不是目标版本。常见现象：执行 composer install 后 vendor/ 里还是新包，甚至报 Class not found。
先确认当前 composer.lock 是否干净：
- 运行
git status composer.lock—— 若显示modified或not staged，说明它已被改过 - 若历史 commit 中存在你要的 lock 版本，直接恢复：
git checkout HEAD~1 -- composer.lock（或指定 hash） - 删掉整个
vendor/目录（Windows 用户请手动删除，别用rm -rf） - 再跑
composer install—— 此时才真正只读 lock、不碰composer.json
别用 composer update --lock，它只是重写 lock 结构，不会清理 vendor/，也不会回退任何代码。
只想降级某一个包，别动其他依赖
手动改 composer.json 再跑 composer update 是最常踩的坑：它会触发全新依赖解析，可能连带升级一堆间接依赖。
正确做法是强制重装目标版本并同步调整子依赖：
- 先查目标版本是否存在且未废弃：
composer show -a monolog/monolog（确认有v2.9.2这类版本） - 执行：
composer require monolog/monolog:^2.9 --with-all-dependencies - 它会更新
composer.lock中该包的version、dist/sha256和所有冲突的间接依赖项 - 若报
Your requirements could not be resolved，立刻运行：composer why-not monolog/monolog:2.9.2查具体冲突来源
不加 --with-all-dependencies 容易卡在子依赖冲突处，报错却不说明哪一层出问题。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
composer install 失败但 lock 文件存在？检查三处一致性
composer install 报错说包不满足、平台不兼容或哈希校验失败，本质是 composer.lock 与当前环境不匹配。
重点核对以下三点：
-
composer.lock中的"platform": {"php": "^8.1"}是否与你本地 PHP 版本一致（比如你在 PHP 7.4 上跑要求 8.1 的 lock） -
composer.json和composer.lock的content-hash是否对应 —— 若手动改过 json 却没生成新 lock，install 会中止 - Windows 下若提示
file could not be downloaded: failed to open stream，大概率是 ca-bundle 路径失效，可临时加--no-secure-http（仅限开发机）
CI/CD 流水线里一旦误用 composer update，可能引入未测试过的版本，引发线上故障。
锁不住的根本原因：操作链断在某个环节
很多人以为写了 "monolog/monolog": "2.11.0" 就锁死了，结果下次 composer update 还是升了版——关键在三个动作没闭环。
必须做到：
- 在
composer.json中写死精确三位版本号（如"2.11.0"，不是"2.11"或"^2.11"） - 改完后必须运行
composer update monolog/monolog（指定包名），否则composer.lock不会同步变更 - 最终部署必须用
composer install，且确保composer.lock已提交到 Git
真正容易被忽略的是 lock 文件的“时效性”：它只保证“当时能跑”，不保证“永远可用”。Packagist 归档旧版本、PHP 平台升级、插件 API 变更，都可能让昨天有效的 lock 今天失效。
