上线、CI/CD或新环境部署时必须用composer install；它严格按composer.lock精确还原依赖，不计算、不试探、不升级，确保环境一致性；composer update则重跑NP-hard级依赖求解，结果不可预测，易引发线上故障。
上线、CI/CD 或新环境部署时，必须用 composer install；它不计算、不试探、不升级，只照 composer.lock 精确还原——这是唯一能保证交付一致性的做法。
为什么 composer install 比 composer update 快且安全？
因为 composer install 是纯 I/O 操作：读 composer.lock → 查缓存或下载对应 zip → 解压到 vendor。全程不访问 Packagist API，不跑依赖求解器（Solver），CPU 几乎不参与运算。
composer update 则必须重跑整套 NP-hard 级别的依赖解析：查每个包所有可用版本、递归校验 PHP 版本/扩展/其他包约束、尝试组合、回溯冲突……结果不可预测，哪怕只升一个 minor 版，也可能因私有方法移除或行为变更导致线上崩溃。
- 本地已有缓存时，
composer install常常是秒级完成；composer update在中等规模项目里可能耗时 2–5 分钟 -
install的哈希校验直接来自composer.lock，下载后自动验证完整性；update生成的新 lock 文件需人工确认变更是否合理 - GitLab CI 或 GitHub Actions 中若缓存了旧 lock 或漏检
ls -la composer.lock，install仍能保一致性；update则必然打破环境隔离
composer install 失败的常见原因和排查点
失败往往不是命令本身问题，而是 composer.lock 和当前环境不匹配：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
立即学习“PHP免费学习笔记（深入）”；
-
composer.lock未提交到 Git：别人拉代码后运行composer install会退回到composer.json的宽松约束，装出不可控版本 -
composer.lock缺少composer.json里声明的包（比如改了require但没运行composer update）：Composer 2.5+ 会直接报错Package "xxx" not found in lock file - PHP 版本或扩展不满足 lock 中记录的包要求：错误信息通常是
your requirements could not be resolved，但根源在环境而非 lock - 用了
--no-dev但生产环境逻辑实际依赖某个require-dev包（如日志驱动切换靠phpunit的某 trait）：功能缺失，而非报错
CI/CD 流水线里怎么写才真正安全？
核心原则：只信任 composer.lock，且确保它被正确加载和校验。
- 第一步必须检查
composer.lock是否存在且可读：test -f composer.lock || exit 1 - 禁用
composer update：CI 脚本里出现这行就是高危信号 - 明确指定安装参数：
composer install --no-interaction --optimize-autoloader --apcu-autoloader --no-dev - 如果项目用到了自定义安装器（如插件类包），加
--ignore-platform-reqs要极其谨慎——它会跳过 PHP 版本、扩展等关键校验 - 缓存
vendor目录前，先确认composer.lock的 SHA256 未变，否则缓存失效
开发机上运行 composer install 却装不出和线上一样的 vendor？
大概率是本地 composer.lock 已被污染或未同步：
- 有人改了
composer.json但没提交新的composer.lock：你git pull后直接composer install就会失败 - 本地执行过
composer update又没提交 lock：你的 lock 已和团队主干不一致 - 用了不同版本的 Composer（比如 2.4 vs 2.5）：lock 文件格式微调可能导致解析差异，建议在
composer.json中锁定composer/composer版本 - 平台差异被忽略：Windows 开发者生成的 lock 文件含 CRLF 行尾，Linux CI 机器可能校验失败，建议 Git 配置
core.autocrlf=input
真正关键的不是命令怎么敲，而是 composer.lock 是否被当作一等公民对待——它不是中间产物，是交付契约本身。漏掉一次提交，就等于签了一份空白合同。
