composer install必须基于已提交且未被污染的composer.lock执行，因其严格按锁文件中记录的精确版本、哈希值和URL还原依赖，禁用update才能保障环境一致性。
直接结论：依赖冲突本身不破坏环境一致性，但强行绕过或错误修复会。真正保障一致性的核心动作只有一个——composer install 必须基于未被污染、已提交的 composer.lock，且全程禁用 composer update 除非你明确要变更依赖树。
为什么 composer why-not 比报错信息更有用
Composer 报错如 Conclusion: don't install laravel/framework v10.32.0 只告诉你“不能装”，不告诉你“谁不让装”。composer why-not 才是定位阻断链的起点：
- 它会逐层列出所有直接/间接依赖对目标包版本的约束，比如 A → B → monolog:^1.0，而你想升到 ^2.0，它就标出 B 是卡点
- 比
composer show -t更聚焦：后者输出整个依赖树，容易淹没关键路径；why-not只返回与冲突相关的子图 - 注意参数写法必须带版本号：
composer why-not guzzlehttp/guzzle:^8.0，漏掉^8.0就没意义
composer.lock 冲突时别手动合并
Git 显示 composer.lock 有冲突标记（<<<< HEAD），说明两人同时改了依赖。此时手动删掉冲突标记、保留某一方内容，等于把依赖关系交给运气：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
composer.lock不是纯文本配置，内部含哈希校验、dist URL、嵌套依赖快照，拼接两版会破坏结构完整性 - 正确做法是：先合并
composer.json中双方新增/修改的require和require-dev行，再删掉本地composer.lock和vendor/，最后跑composer update - CI 流程中应加检查：若
composer.json被修改但composer.lock未变，直接拒绝 PR —— 这能拦住“只改 json 不更新 lock”的常见疏漏
--no-dev 和 --optimize-autoloader 不是可选开关
生产环境跑 composer install 却没加这两个参数，等于主动放弃一致性：
-
--no-dev不只是“不装 phpunit”：像roave/security-advisories这类 dev-only 包，一旦进生产 vendor，composer install会因检测到已知漏洞包而直接失败 -
--optimize-autoloader改变的是 autoloader 的行为逻辑：不加它，每次class_exists()都触发文件系统扫描；加了它，生成静态 classmap，行为确定、无 IO 差异 - 更隐蔽的坑：
COMPOSER_NO_DEV=1环境变量可能被 CI 模板默认设为 0，导致脚本里写了--no-dev也无效——必须显式覆盖
最常被忽略的一点：platform 配置不传递。你在根项目 composer.json 里写了 "php": "8.2.10"，但某个子依赖自己声明了 "php": "^8.3"，Composer 仍会拒绝安装。这意味着 PHP 版本统一不能只靠 lock 文件，还得靠 Dockerfile 固定镜像、CI 中用 php -v 校验、README 明确标注最低要求——三者缺一不可。
