答案是删除composer.lock后执行composer install --no-cache。因dev-分支约束导致lock文件混存多个commit-ref，手动编辑易破坏结构，正确做法是清缓存、删lock、强制重装以统一拉取当前commit的dist包并生成干净快照。
composer install 报 Invalid lock file. Corrupted 是因为分支 commit-ref 不一致
这不是 lock 文件损坏，而是 composer.lock 里记录了多个分支的 source.reference（比如 dev-main 对应的 commit hash），而当前本地分支或远程状态已变，导致 dist 包哈希校验失败。常见于多人协作中频繁切 dev-feature/x、dev-main 并提交 lock 文件。
别手动编辑 composer.lock —— JSON 结构嵌套深，packages 和 packages-dev 中同名包可能分散在不同位置，改错一个 reference 就会让 composer install 直接 abort。
- 先确认问题：运行
composer validate，若通过但composer install报Invalid lock file. Corrupted.或提示dist.sha256 does not match，基本就是分支 ref 错位 - 正确做法：删掉
composer.lock，再执行composer install --no-cache - 它会重新解析
composer.json中所有dev-xxx as y.z约束，拉取当前分支最新 commit 的完整 dist 包，并生成干净、单 reference 的 lock
为什么 composer update 会让 lock 更混乱？
composer update 默认不是“只更新我写的那行”，而是递归重算整个依赖树。哪怕你只执行 composer update monolog/monolog，只要它被某个间接依赖声明为 dev-main，Composer 就可能把那个间接依赖也顺手切到最新 commit，结果 composer.lock 里同一包在 packages 和 packages-dev 中出现两个不同 source.reference。
- 日常操作一律用
composer install，绝不加--update-with-dependencies或--with-all-dependencies - 想升
dev-main到新 commit：先git pull更新本地分支，再跑composer update vendor/package-name --no-install（只改 lock），最后composer install - CI 环境特别危险：GitLab CI 自动 checkout
refs/merge-requests/X/head这种临时 ref，Packagist 不认，composer install会 fallback 失败；应设COMPOSER_ROOT_VERSION=dev-main或仅测试时用--ignore-platform-reqs
PHP 版本不一致导致 install 卡住，怎么快速对齐？
报错 requires php ^8.1 but your PHP version (7.4.33) does not satisfy that requirement，根本不是 Composer 故意拦你，而是它严格按当前 shell 下 php -v 输出的版本去校验 composer.json 中的 "php": "^8.1"。你看到的 php -v 和 Composer 实际调用的 PHP 二进制可能根本不是同一个。
- 先运行
which php和composer diagnose | grep "PHP binary"，两行路径必须一致 - Linux/macOS：直接用目标路径执行，例如
/usr/bin/php8.1 composer install - Windows：用完整路径，例如
"C:\php\php81\php.exe" composer install - 别信
config.platform.php—— 它只影响依赖解析，不改变运行时，本地是 7.4 却设成 8.2，install 能过，一跑match就 fatal
切换分支后 vendor 内容不一致，怎么验证是否真干净？
删 lock + install 后，仍发现类找不到、函数不存在，大概率是 vendor 里混进了旧分支残留的文件。Composer 不会自动清理已存在但不再 require 的包，尤其当分支间 require 差异大时。
- 执行前先清空：
rm -rf vendor/，不要只删部分子目录 - 确认
composer.json中require和require-dev在当前分支下是完整且自洽的 - 装完后跑
composer show --tree，检查关键包（如框架、核心 SDK）是否版本和预期一致；若有同一包多个版本并存，说明有replace或conflict声明没处理干净 - CI 构建脚本里务必前置
php -v和ls -la vendor/ | head -n 5打日志，否则线上出问题根本没法回溯
