composer install只按composer.lock安装精确版本，完全忽略composer.json中的版本约束；改json后必须运行composer update同步lock，否则install仍装旧版。

composer install 为什么装的不是 composer.json 里写的版本

因为 composer install 根本不看 composer.json 里的版本约束，它只认 composer.lock 里记录的精确版本。哪怕你把 "guzzlehttp/guzzle": "^7.5.0" 改成 "guzzlehttp/guzzle": "7.5.0"，只要没运行 composer update guzzlehttp/guzzle，composer.lock 里还是旧版本，install 就永远装旧的。

常见错误现象：

• 改完 composer.json 后执行 composer install，vendor/ 里包版本完全没变
• composer show guzzlehttp/guzzle 显示 7.8.1，但 composer.json 写的是 7.9.0
• CI 构建失败，报 Class not found，而本地能跑——大概率是 lock 文件没提交，别人 install 时退化成隐式 update

composer.lock 和 composer.json 的优先级怎么算

composer install 的行为完全由 composer.lock 是否存在决定：

• 有 composer.lock → 严格按它安装：包括 version 字段、dist.reference（commit hash）、dist.url、校验和，全部照搬
• 没有 composer.lock → 自动退化为 composer update：重新解析 composer.json 所有约束，生成新 lock 文件并安装

注意：composer.json 里的 ^、~、* 等写法只在 update 阶段起作用；install 阶段它们是“摆设”。真正锁定版本的，只有 composer.lock 本身。

Pandas 配置文件报告生成器

使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。

下载

怎么确认实际装的是哪个版本

别只信 composer.json 或 composer show 输出，要交叉验证三处：

• 运行 composer show vendor/package，看 versions 行是否等于你期望的字符串（注意有无 v 前缀、+git 后缀）
• 打开 composer.lock，搜索对应包名，检查 "version": "x.y.z" 和 "source": {"reference": "abc123..."} 是否存在且确定
• 进 vendor/vendor/package/ 目录，看它的 composer.json 或 VERSION 文件——有些包会篡改自身元数据，导致 composer show 显示失真

platform 配置不匹配导致锁文件“失效”

即使 composer.lock 存在，composer install 也可能装错版本或直接报错 Your lock file does not contain a compatible set of packages。根本原因是目标环境的 PHP 版本、扩展（如 ext-zip）或 config.platform 与锁文件生成时的环境不一致。

• 高版本 PHP 生成的 lock 文件，在低版本环境可能降级甚至跳过某些包（比如 monolog/monolog v3.5.0 要求 PHP >=8.1，但你本地是 8.0）
• composer.json 里没配 config.platform，导致 lock 文件默认记录开发机配置，CI 机器一跑就出问题
• 用 composer install --dry-run --no-dev --ignore-platform-reqs=false 可提前验证 lock 文件是否适配目标平台

真正可靠的锁定，不是只靠 composer.lock 文件存在，而是它和 config.platform、PHP 实际版本、已启用扩展三者严丝合缝。漏掉任何一环，都可能让“锁定”变成幻觉。