composer install必须基于composer.lock执行，因其核心作用是严格还原锁定状态——只认lock中记录的精确版本、哈希值和下载地址，不读json中的版本范围，确保环境一致；缺失lock则退化为不可控的update行为。
composer install 为什么必须基于 composer.lock 执行
因为 composer install 的核心作用就是还原锁定状态——它不读 composer.json 的版本范围，只认 composer.lock 里记录的精确版本、哈希值和下载地址。一旦项目里存在 composer.lock，执行 composer install 就不会引入任何意外变更。
常见错误现象：
• 开发者本地删掉 composer.lock 后运行 composer install，结果装了新版依赖，CI 构建失败
• 新成员 clone 项目后直接 composer update，导致本地环境与生产不一致
• CI/CD 流水线用了 composer update 而非 composer install，每次构建都可能拉不同版本
- 所有新环境（包括 CI、测试机、新同事本地）必须用
composer install，且确保composer.lock已提交到 Git - 禁止在 CI 脚本中出现
composer update，除非是专门做依赖审计的 nightly job - 若
composer.lock缺失（比如从空仓库初始化），composer install会退化为按composer.json解析并生成新 lock 文件——这属于异常路径，应被监控和告警
团队协作中 composer.lock 文件必须提交到 Git
不提交 composer.lock，等于放弃版本锁定能力。从 Composer 2.5 开始，如果 composer.lock 里缺失 composer.json 声明的包，composer install 会直接报错：Package "xxx" not found in lock file，这反而强化了提交 lock 文件的必要性。
使用场景：
• 多人并行开发时，A 提交了新 lock，B 拉取后执行 composer install，得到完全一致的 vendor 目录
• 生产部署脚本中，git pull && composer install 是标准组合，无需额外判断逻辑
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer.lock必须纳入.gitignore的排除列表之外，且不能被 IDE 或构建工具自动忽略 - Git 提交前建议运行
composer validate，确认composer.json和composer.lock语义一致 - 如果发现 lock 文件里有 dev-master 或 @dev 版本，说明有人误用了
composer require --dev或手动改了 json，需立即修正
CI/CD 中执行 composer install 的关键配置项
CI 环境不是开发机，没有缓存、没有交互、更不能容忍不确定性。composer install 在 CI 中必须带上明确参数，否则容易因默认行为差异导致失败。
性能 / 兼容性影响：
• 不加 --no-dev 会导致测试工具也被装进生产镜像，增大体积且引入安全风险
• 不加 --no-interaction 可能卡在 license 确认环节，使 pipeline 挂起
• 不加 --prefer-dist 会让 Composer 优先尝试 git clone，而 CI 环境通常没配 SSH key 或网络受限
- 标准 CI 命令应为：
composer install --no-dev --no-interaction --prefer-dist - 推荐在
composer.json的config字段预设："platform-check": false，避免因 CI 环境 PHP 扩展缺失而中断 - 如果项目依赖某些扩展（如
ext-redis），应在 CI 配置中显式安装对应扩展，而不是靠 Composer 自动检测跳过
什么时候不该用 composer install
composer install 是还原命令，不是升级命令。它解决的是“复现”，不是“演进”。一旦你打算改变依赖结构，就必须切换到其他流程。
容易踩的坑：
• 在生产环境服务器上执行 composer install 前，没确认当前分支是否已包含最新 composer.lock —— 结果装了旧版依赖
• 用 composer install 试图“修复”某个包的 bug，但实际需要的是更新该包版本，应走 composer update vendor/package + 提交新 lock
- 仅当你要部署一个已验证过的版本时，才用
composer install - 要新增、删除或升级依赖，必须由专人执行
composer update或composer require，测试通过后再提交新的composer.lock - 临时调试想换版本？先
git stash当前修改，再切到对应 commit 运行composer install，别在工作区乱动 lock 文件
composer install，而是让所有人理解：那个看似冗长的 JSON 文件，才是团队对依赖版本的共同承诺。 
