composer.lock必须提交，它是项目依赖树的完整快照，精确记录每个包的版本、校验和、安装方式及嵌套结构；缺失时composer install会退化为不受控的composer update，导致各环境vendor目录不一致。
composer.lock 必须提交，且所有人只运行 composer install
不提交 composer.lock，就等于放弃依赖一致性。它不是辅助文件，而是当前项目依赖树的完整快照：每个包的精确版本、校验和、安装方式（dist vs source）、甚至子依赖的嵌套结构都固化其中。一旦缺失，composer install 会退化为 composer update 的逻辑——不同人、不同时间、不同机器上跑出来的 vendor/ 目录，哈希值和行为都可能不同。
常见错误包括：
-
composer.lock被加进.gitignore，新人git clone && composer install实际装出的是最新兼容版，而非团队验证过的组合 - 有人手误执行了
composer update monolog/monolog，没提交新composer.lock，别人install还是旧版，日志格式或异常类名突然不兼容 - CI 脚本里写了
composer update，每次构建都拉新包，导致部署环境随时间漂移
实操建议：
- 所有协作者只允许执行
composer install；升级必须由专人发起，回归测试通过后提交新composer.lock - CI 脚本中固定写
composer install --no-interaction --prefer-dist，禁用--ignore-platform-reqs - 用
composer validate检查composer.lock是否与composer.json同步：若 lock 里有某个包，但 json 中require或require-dev没声明，会直接报错
PHP 版本约束必须写死在 composer.json 的 require 段
仅靠 config.platform.php 不足以跨平台统一环境。它只影响 Composer 解析依赖时的“模拟平台”，不改变实际运行时 PHP 版本，也不强制他人遵守。真正起效的是 composer.json 根级 require 中对 php 的硬性声明。
错误写法示例：
-
"php": "^8.1"—— 允许 8.1.0 到 8.99.99，CI 用 8.1.2、本地用 8.2.5，可能因扩展差异或小版本 bug 导致行为不一致 -
"php": "8.1"—— Composer 忽略此写法，等同于没写 - 把
"php": "8.2.10"放在config.platform下却没同步到require—— 本地开发能过，但 CI 因真实 PHP 是 8.1.0 直接拒绝安装
正确做法：
- 在
composer.json的require中写死小版本："php": "8.2.10" - 改完后必须删掉
vendor/和composer.lock，再跑composer install—— 旧 lock 文件不会自动刷新平台约束 - CI 脚本开头加
php -v打印日志，确认实际版本与声明一致
镜像源配置要走项目级，别依赖全局 ~/.composer/config.json
Windows、macOS、Linux 对 $HOME、%APPDATA%、WSL 的路径映射完全不同，composer config -g 写入的位置往往不互通。更糟的是，项目级 repositories 字段会静默覆盖全局配置，哪怕只有一行 "packagist.org": false，也会让阿里云镜像失效。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
典型现象：
- macOS 上秒装完成，CI 里卡在
Downloading https://api.packagist.org/ - Git Bash 和 PowerShell 下执行
composer config -g，实际写入的配置文件路径不同，重启终端后失效 - CI 容器挂载空
/root/.composer，退回到默认源，而本地早已配好阿里云
实操建议：
- 进项目根目录，运行
composer config repo.packagist composer https://mirrors.aliyun.com/composer/（去掉-g）—— 这会在composer.json中写入"repositories": {"packagist": {}} - 手动在
composer.json根节点加"packagist.org": false，防止 Composer 2.2+ fallback - 提交修改后的
composer.json，所有协作者、CI、Docker 构建都会按同一份配置执行 - 验证是否生效：
composer install -vvv 2>&1 | grep "mirrors.aliyun.com"，看到下载域名即确认
config.platform 配置不能替代真实环境校验
config.platform 的作用是让 Composer 在解析依赖时“假装”运行在指定平台上，但它不解决两个根本问题：一是子依赖自身声明的 PHP 版本要求仍会被严格校验；二是它无法保证你本地或 CI 真的装了对应扩展（如 ext-gd、ext-iconv）。
比如你设了 "platform": {"php": "8.2.12", "ext-gd": "8.2.12"}，但项目依赖的某个包在其 composer.json 里写了 "php": "^8.3"，Composer 依然会拒绝安装——它优先尊重子依赖的声明。
这意味着：
- 团队必须在
README.md或Dockerfile中明确标注最低 PHP 要求和必需扩展 - CI 脚本中前置检查：
php -v、php -m | grep gd，失败则立即退出 - 对含二进制分发的包（如
laravel/sail、spatie/browsershot），优先使用官方 PHAR 安装方式，而非依赖 Composer 的bin自动注册 - 删除
composer.json中对平台扩展的硬性require（如"ext-posix": "*"），改用function_exists()运行时判断
最易被忽略的一点：platform 配置本身不进 Git 的话，CI 就不知道该模拟哪个环境；但若进了 Git 又和 require 中的 PHP 声明冲突，反而引发更隐蔽的解析失败。所以它只适合用于 CI 构建时的临时覆盖，不该作为团队协作的长期依赖策略。
