Composer install本身不是回滚命令，它只按composer.lock精确还原；回滚成功与否取决于lock文件是否为目标历史版本，需先git checkout恢复旧lock、清空vendor，再执行install。
Composer install 本身不是回滚命令，它只是按 composer.lock 文件精确还原——回滚是否成功，只取决于你手里的 lock 文件是不是目标版本。
composer install 为什么没装旧版本？你根本没在用旧 lock 文件
常见现象：切到历史 commit 后运行 composer install，vendor/ 里还是新包，甚至报 Class not found。这不是命令失效，而是当前工作区的 composer.lock 并非目标历史版本。
- 先确认状态：
git status composer.lock—— 若显示modified或not staged，说明它已被改过，不是你要的那个锁文件 - 从 Git 恢复干净 lock：
git checkout HEAD~1 -- composer.lock（或指定含旧 lock 的 commit hash） - 必须删掉整个
vendor/目录（Windows 用户请手动删除，rm -rf在 Windows 下不可靠） - 再执行
composer install—— 此时才真正只读 lock、不碰composer.json的版本约束
只想降级某一个包？别改 composer.json 再 run update
直接修改 composer.json 中的版本号 + composer update vendor/package 是最常踩的坑：它会触发全新依赖解析，可能连带升级一堆间接依赖，结果完全偏离预期。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 正确做法是强制重装目标版本并同步调整子依赖：
composer require monolog/monolog:^2.9 --with-all-dependencies - 它会更新
composer.lock中该包的version、dist/sha256和所有冲突的间接依赖项 - 不加
--with-all-dependencies容易卡在子依赖冲突处，报错却不说明哪一层出问题 - 若报
Your requirements could not be resolved，立刻运行：composer why-not monolog/monolog:2.9.2查具体冲突来源
composer install 失败但 lock 文件存在？检查三处一致性
composer install 报错说包不满足、平台不兼容或哈希校验失败，本质是 composer.lock 与当前环境不匹配。
- 核对
composer.lock中的"platform": {"php": "^8.1"}是否与你本地 PHP 版本一致（比如你在 PHP 7.4 上跑要求 8.1 的 lock） - 检查
composer.json和composer.lock的content-hash是否对应 —— 若手动改过 json 却没生成新 lock，install 会中止 - Windows 下若提示
file could not be downloaded: failed to open stream，大概率是 ca-bundle 路径失效，可临时加--no-secure-http（仅限开发机）
镜像源配置不当会导致回滚失败
阿里云、腾讯云等镜像虽支持历史版本，但同步有 10–30 分钟延迟；更关键的是 fallback 机制是否启用 —— 它决定了镜像找不到旧版本时，是否会自动切回官方源。
- 检查是否误禁用了 fallback：
composer config -g repos.packagist false或composer.json中写了"packagist.org": false - 验证 fallback 是否开启：
composer config -g输出里应有"packagist": true（新版默认值，通常不显示） - 回滚 ThinkPHP 等框架特定版本时，注意
^6.0.2和6.0.*解析行为不同，部分旧小版本甚至未打 tag - 必要时用
curl -I https://mirrors.aliyun.com/composer/p/topthink/think.json直接查镜像是否返回 200，再 grep 版本号
lock 文件不是“自动快照”，它是你主动提交、主动恢复的契约；一旦被覆盖或未提交，回滚就失去依据。多人协作中，composer.lock 必须进 Git，且不能忽略 —— 这不是可选项，是依赖一致性的底线。
