composer install必须读composer.lock，因其唯一职责是复现已验证的依赖状态：严格按lock中记录的精确版本、哈希值和路径还原vendor，完全忽略composer.json的版本约束，确保开发、CI、生产环境完全一致。
composer install 为什么必须读 composer.lock
因为 composer install 的唯一职责就是复现已验证过的依赖状态。只要项目根目录存在 composer.lock，它就完全忽略 composer.json 里的版本约束（比如 "monolog/monolog": "^2.0"），只按 lock 文件里记录的精确版本（如 "2.8.1"）下载、解压、写入 vendor。这保证了本地开发、CI 构建、生产部署拿到的是同一组二进制包。
常见错误现象是：团队成员改了 composer.json 但没提交新的 composer.lock，别人 composer install 就会报错 Your lock file does not contain a compatible set of packages——不是命令错了，而是 lock 和 json 对不上。
- 没有
composer.lock时，composer install会退化为composer update行为（解析composer.json、生成新 lock），但这不是常态，而是 fallback -
composer install --no-dev会跳过require-dev包，但要注意某些运行时逻辑（如日志驱动切换）可能隐式依赖 dev 包，线上缺失会导致功能异常 - CI 脚本里漏掉
ls -la composer.lock检查，或缓存了旧 lock，构建结果就不可复现
composer update 实际上在重跑整个依赖求解器
composer update 不是“升级几个包”，而是丢掉 composer.lock，从头启动 Composer 的 Solver 组件：遍历所有包的可用版本、检查 PHP 版本兼容性、递归校验子依赖约束、回溯冲突路径……这个过程是 NP-hard 级别计算，耗时随依赖数量指数增长。
哪怕只是把 "symfony/console": "^5.4" 升到 5.4.32，也可能触发底层组件（如 symfony/polyfill）版本联动变更，进而影响命令行参数解析逻辑。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer update monolog/monolog看似只更新一个包，实际会重算整个依赖图谱，连带升级其所有子依赖 -
composer update --dry-run是安全前提，先看清楚它打算装哪些版本，再决定是否执行 - 全量
composer update应该是明确目标的动作（如修复 CVE），而不是日常操作；日常加依赖请用composer require vendor/package
什么时候该用 composer require 而不是 update
添加新依赖时，composer require 是唯一正确入口。它会自动修改 composer.json 的 require 或 require-dev 区块、触发一次受控的依赖求解、更新 composer.lock，整个过程原子且可追溯。
误用 composer update 添加包，本质是绕过声明式管理：你没在 composer.json 里写明依赖，lock 文件却多了一项，别人 composer install 会失败，Git 历史也看不出是谁、何时、为何引入这个包。
-
composer require guzzlehttp/guzzle:^7.0显式声明版本约束，比不带版本号更安全 -
require和require-dev边界必须划清：phpunit/phpunit放 dev，doctrine/dbal放 require；错放会导致生产环境启动失败或行为异常 - 想试某个包的新版？优先
composer require vendor/package:dev-main或指定 tag，而非全量 update
生产环境部署脚本里写错命令的后果
CI/CD 流水线或上线脚本里写 composer update，等于每天随机生成一套依赖组合。哪怕 composer.json 没变，Packagist 上新发的补丁版本（如 laravel/framework v10.48.12）也会被自动拉进来——而这个版本可能刚修复一个安全漏洞，但也悄悄改了中间件注册顺序。
真正要做的只有一件事：composer install。它不联网查最新版、不跑 Solver、不碰 composer.json，纯 I/O 操作，快且确定。
- 如果部署失败，先确认
composer.lock是否被 .gitignore 忽略、是否和composer.json同步 - 不要用
--ignore-platform-reqs掩盖报错，那只会把问题拖到运行时 - 镜像源配置（如阿里云）影响下载速度，但不改变 install/update 的语义逻辑
